Microsoft Azure OpenAI: Rechteausweitung durch fehlende Authentifizierung
Zusammenfassung
Eine fehlende Authentifizierung für eine kritische Funktion in Azure OpenAI erlaubt einem nicht autorisierten Angreifer über das Netzwerk eine Rechteausweitung. Der CVSS-v3.1-Basiswert beträgt 9.8 (kritisch), die CWE-Klassifizierung lautet CWE-306. Gemäss CVE-Eintrag sind Azure-OpenAI-Versionen ab 1.0.0 bis unter hyena-infra-build-official/20260923.14 betroffen. Die Herstellerangaben konnten nicht verifiziert werden, daher sind Fix-Status, technische Details und genaue Auswirkungen nicht bestätigt.
Betroffen
- Microsoft Azure OpenAI: 1.0.0 bis < hyena-infra-build-official/20260923.14 (gemäss CVE-Eintrag)
- Cloud-basierter Dienst: Versionen auf Kundenseite sind laut Herstellerhinweis nicht bestätigt
Behoben in
Unbekannt. Der MSRC-Hinweis konnte nicht abgerufen werden, daher ist kein korrigierter Build bestätigt.
Umgehung
- Für diese CVE ist kein Workaround des Herstellers dokumentiert.
- Allgemeine Härtung (behebt die Schwachstelle nicht): API-Schlüssel rotieren und widerrufen, Code und Repositories nach offengelegten Schlüsseln durchsuchen und statt Schlüsseln verwaltete Identitäten oder Entra-ID-Authentifizierung verwenden.
Ausnutzung
- Ausnutzung in freier Wildbahn: Unbekannt.
- Öffentlicher Proof of Concept: keiner gefunden.
- CISA-SSVC-Bewertung (gemäss CVE-Eintrag): Exploitation none, Automatable yes, Technical Impact total.
Unsere Empfehlung
- Prüfen Sie, ob Ihre Organisation Azure-OpenAI-Ressourcen nutzt und welche Versionen oder Deployments betroffen sind.
- Prüfen Sie den MSRC-Hinweis zu dieser CVE und klären Sie, ob Microsoft die Korrektur bereits eingespielt hat oder Massnahmen auf Kundenseite nötig sind.
- Rotieren und widerrufen Sie ungenutzte oder exponierte API-Schlüssel und wechseln Sie wo möglich zu verwalteten Identitäten oder Entra-ID-Authentifizierung.
- Überprüfen Sie Dienstidentitäten, Zugriffskontrollen und Logs auf ungewöhnliche API-Aufrufe oder unerwartete Rechteänderungen.
- Prüfen Sie CISA KEV und den NVD-Eintrag auf Updates, da die NVD-Analyse noch aussteht.
Angaben von Microsoft (Patch Tuesday November 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- MSRC Security Update Guide: CVE-2026-119990 msrc.microsoft.com
- Key-hardening guidance: Azure OpenAI service breach by hacking-as-a-service group nhimg.org
- Sibling Azure AI Foundry advisory (CVE-2026-85889, context only) thehackernews.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 20:37.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.