Azure DevOps CLI Extension: Informationsoffenlegung durch Fehler bei der Ursprungsprüfung
Zusammenfassung
Die Azure CLI und die Azure DevOps CLI Extension von Microsoft enthalten einen Fehler bei der Ursprungsprüfung (CWE-346), der es einem nicht autorisierten Angreifer im Netzwerk ermöglicht, sensible Informationen offenzulegen. Laut Hersteller könnten die offengelegten Daten ein Anmeldetoken für das Geschäftskonto eines Benutzers umfassen, das Zugriff auf Daten und Dienste gewährt, die der Benutzer nutzen darf. Für die Ausnutzung ist eine Aktion durch einen Benutzer erforderlich (UI:R). Es ist kein öffentlicher Proof-of-Concept und keine bekannte Ausnutzung bekannt; der Hersteller stuft die Ausnutzung als weniger wahrscheinlich ein.
Betroffen
- Azure CLI: Die Versionsbereiche in den Quellen widersprechen sich und konnten nicht verifiziert werden; siehe MSRC-Advisory.
- Azure DevOps CLI Extension: Eine Drittquelle nennt 1.0.6 bis unter 1.0.7; nicht durch den Hersteller bestätigt.
Behoben in
Unbekannt. Der Hersteller empfiehlt, auf die neuesten Versionen der Azure CLI und der Azure DevOps CLI Extension zu aktualisieren, die die Korrektur enthalten. Die exakten korrigierten Builds sind im MSRC-Advisory zu prüfen.
Umgehung
Keine Workaround dokumentiert. Als Übergangsmassnahme den Kreis der Personen, die diese CLI-Tools ausführen dürfen, einschränken und langlebige Token nicht in gemeinsam genutzten oder CI-Umgebungen speichern.
Ausnutzung
- Hersteller: nicht öffentlich bekannt, nicht als ausgenutzt bekannt, Ausnutzbarkeit als weniger wahrscheinlich eingestuft.
- Nicht im CISA-KEV-Katalog aufgeführt.
- CISA SSVC: Ausnutzung keine, nicht automatisierbar, teilweise technische Auswirkung.
- EPSS etwa 0,4 %.
- Kein öffentlicher Proof-of-Concept bekannt.
Unsere Empfehlung
- MSRC-Advisory öffnen und die exakten korrigierten Builds für Azure CLI und die Azure DevOps CLI Extension festhalten.
- Alle Installationen inventarisieren, einschliesslich Entwickler-Laptops und CI-Build-Agenten.
- Betroffene Installationen im normalen Patch-Zyklus aktualisieren.
- Anmeldetoken, die von betroffenen Installationen verwendet wurden, erneuern, da Token-Diebstahl unbemerkt verlaufen kann.
- NVD nach Abschluss der Analyse auf finale Versionsdaten prüfen.
Angaben von Microsoft (Patch Tuesday Oktober 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Microsoft Security Response Center advisory CVE-2026-69877 msrc.microsoft.com
- OpenCVE CVE-2026-69877 app.opencve.io
- Vulners CVELIST CVE-2026-69877 vulners.com
- Vulners NVD CVE-2026-69877 vulners.com
- Strix CVE-2026-69877 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 05.11.2026 11:27.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.