Azure Pipelines: Command Injection führt zu Remote Code Execution
Zusammenfassung
Eine Command Injection-Schwachstelle (CWE-77) in Azure Pipelines erlaubt einem berechtigten Angreifer, über das Netzwerk Code auszuführen. Im Feld zu den betroffenen Produkten des CVE-Eintrags ist stattdessen Microsoft Azure Web Apps genannt; der genaue Umfang muss daher im MSRC-Advisory bestätigt werden. Die Angriffskomplexität ist hoch, der Scope ist verändert, und die Auswirkungen auf Vertraulichkeit und Integrität sind hoch. Der Angreifer benötigt ein gültiges Konto mit niedrigen Privilegien; der CVE-Eintrag sagt nicht, ob die Schwachstelle aus dem Internet erreichbar ist.
Betroffen
- Im CVE-Titel genanntes Produkt: Azure Pipelines
- Im Feld zu den betroffenen Produkten genanntes Produkt: Microsoft Azure Web Apps
- Versionsbereich laut CVE-Eintrag: 1.0.0 bis vor 2.10.0
- Unbekannt, ob dieser Bereich für Azure Pipelines gilt; im MSRC-Advisory bestätigen.
Behoben in
Unbekannt. Es wurde kein bestätigter korrigierter Build gefunden; das MSRC-Advisory prüfen.
Umgehung
Unbekannt. Es wurde kein Workaround des Herstellers gefunden. Falls der betroffene Dienst von Microsoft gehostet wird, ist allenfalls keine Massnahme durch den Kunden nötig; dies im MSRC-Advisory prüfen.
Ausnutzung
- Zum Zeitpunkt der Recherche wurde kein öffentlicher Proof of Concept und keine Ausnutzung in freier Wildbahn gefunden.
- Rapid7 führt die Ausnutzungseinschätzung als Exploitation Less Likely und die CVE als nicht öffentlich bekannt gemacht.
- CISA SSVC: Exploitation none, Automatable no.
- CISA KEV: im Snapshot nicht aufgeführt; erneut prüfen.
Unsere Empfehlung
- Im MSRC-Advisory bestätigen, ob Ihre Organisation Azure Pipelines oder Azure Web Apps einsetzt und welche Versionen betroffen sind.
- Den Herstellerfix einspielen, sobald er bestätigt ist.
- Prüfen, wer Pipelines bearbeiten und Service Connections verwalten darf; nicht benötigte Rechte entfernen.
- Konten mit diesen Berechtigungen überprüfen, insbesondere Entwickler- und Contractor-Konten.
- Den Status in KEV und NVD erneut prüfen, sobald die NVD-Analyse veröffentlicht ist.
Angaben von Microsoft (Patch Tuesday November 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Microsoft Security Update Guide (MSRC) msrc.microsoft.com
- CVE.org record CVE-2026-119989 www.cve.org
- Strix CVE-2026-119989 www.strix.ai
- Rapid7 Patch Tuesday November 2026 www.rapid7.com
- OpenCVE Azure Pipelines app.opencve.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 01:28.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.