Microsoft Azure Confidential Clean Room: Fehlende Autorisierung erlaubt Manipulation

Zusammenfassung

Eine fehlende Autorisierungsprüfung in Microsoft Azure Confidential Clean Room erlaubt einem berechtigten Benutzer mit niedrigen Privilegien, Daten über das Netzwerk zu manipulieren. Die CNA bewertet die Auswirkung als hoch bei der Integrität ohne Auswirkung auf Vertraulichkeit oder Verfügbarkeit, und der Angriff setzt ein gültiges Konto im betroffenen Dienst voraus. Das Produkt ist ein verwalteter Preview-Dienst für die gemeinsame Auswertung von Daten mehrerer Parteien, daher ist die Exposition auf Organisationen beschränkt, die an solchen Clean Rooms teilnehmen.

Betroffen

• Microsoft Azure Confidential Clean Room ab 1.0.0 vor 11.0.0
• CVSS 3.1 Basiswert 7.7 (CNA-Bewertung), Vektor AV:N/AC:L/PR:L/UI:N/S:C/C:N/I:H/A:N
• CWE-862 (Missing Authorization)

Behoben in

• Version 11.0.0 ist gemäss dem betroffenen Bereich die erste korrigierte Version; noch nicht durch die Herstellerwarnung bestätigt.

Umgehung

Unbekannt.

Ausnutzung

• Kein öffentlicher Proof of Concept bekannt.
• Ausnutzung von Rapid7 als weniger wahrscheinlich eingestuft; laut einem Sekundärspiegel nicht im CISA-KEV-Katalog (nicht direkt geprüft).
• CNA-Exploit-Reife: unbewiesen (E:U).

Unsere Empfehlung

• Falls Sie keine Azure Confidential Clean Rooms Bereitstellung haben, ist keine Massnahme nötig.
• Falls Sie den Dienst nutzen, prüfen Sie die eingesetzte Version gegen die Warnung im Microsoft Security Update Guide und installieren Sie jedes von Microsoft vorgegebene Update.
• Überprüfen Sie, welche Konten Zugriff auf Clean Rooms haben, und entziehen Sie nicht benötigte Berechtigungen.
• Überwachen Sie Clean-Room-Aktivitäten auf unerwartete Änderungen an Daten oder Ergebnissen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-121668 msrc.microsoft.com
• CVE Record CVE-2026-121668 www.cve.org
• Rapid7: Patch Tuesday November 2026 (EM) www.rapid7.com
• Azure Confidential Clean Rooms documentation learn.microsoft.com
• Multiparty data collaboration with Azure Confidential Computing learn.microsoft.com
• STRIX CVE data mirror: CVE-2026-121668 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 04:47.