Azure App Service: Fehlende Authentifizierung führt zu Remote Code Execution
Zusammenfassung
Microsoft Azure App Service ist von einer Schwachstelle durch fehlende Authentifizierung (CWE-306) bei einer kritischen Funktion betroffen. Ein nicht authentifizierter Angreifer im Netzwerk könnte Code ausführen, was eine vollständige Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit hätte. Microsoft gibt an, das Problem auf seiner Plattform vollständig behoben zu haben, sodass Kunden keine Massnahmen ergreifen müssen.
Betroffen
- Microsoft Azure App Service (der MSRC-Eintrag nennt Azure App Service für Linux; der Umfang ist von Microsoft nicht eindeutig bestätigt)
- Betroffene Versionen: Unbekannt. Microsoft hat keine Build- oder Versionsnummern veröffentlicht.
Behoben in
- Korrigierte Version: Nicht veröffentlicht. Microsoft hat das Problem dienstseitig behoben; es ist kein Kunden-Update erforderlich.
Umgehung
- Laut Microsoft ist kein kundenseitiger Workaround erforderlich.
- Allgemeine Härtung (nicht von Microsoft): Management- und SCM-Endpunkte mit IP-Einschränkungen oder privater Vernetzung absichern und Zugriffsprotokolle auf ungewöhnliche Anfragen prüfen.
- Eigene Container sind in der Verantwortung des Kunden. Eigene Basis-Images und Laufzeitumgebungen aktuell halten.
Ausnutzung
- Ausnutzung in freier Wildbahn: Nein, laut Microsoft zum Zeitpunkt der Veröffentlichung.
- Öffentlich bekannt gemacht: Nein.
- CISA KEV: Nicht aufgeführt.
- Öffentlicher Proof of Concept: Keiner gefunden.
- Talos meldet, dass eine im Oktober 2026 offengelegte Schwachstelle ausgenutzt wurde, nennt aber diese CVE nicht. Mit den MSRC-Kennzeichnungen zur Ausnutzung abgleichen.
Unsere Empfehlung
- Kunden müssen keinen Patch einspielen; Microsoft hat die Korrektur umgesetzt.
- Prüfen, ob Ihre Organisation Azure App Service nutzt und ob die Apps aus dem Internet erreichbar sind.
- Eigene Container-Images und Anwendungslaufzeiten aktuell halten.
- Den MSRC-Eintrag auf Änderungen bei betroffenen Versionen oder dem Ausnutzungsstatus überwachen.
Angaben von Microsoft (Patch Tuesday Oktober 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Microsoft Security Update Guide (vulnerability) msrc.microsoft.com
- Microsoft Security Update Guide (advisory) msrc.microsoft.com
- Talos: Microsoft Patch Tuesday October 2026 blog.talosintelligence.com
- Strix CVE summary www.strix.ai
- VulDB CVE-2026-77900 vuldb.com
- BDU FSTEC record BDU:2026-16747 vulners.com
- Microsoft App Service update on custom images azure.github.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 20:08.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.