Microsoft Azure Kubernetes Configuration Service: Rechteerweiterung durch fehlende Authentifizierung
Zusammenfassung
Der Microsoft Azure Kubernetes Configuration Service enthält eine fehlende Authentifizierungsprüfung für eine kritische Funktion (CWE-306). Gemäss CVE-Eintrag kann ein nicht authentifizierter Angreifer mit Netzwerkzugriff seine Rechte erweitern; der CVSS-3.1-Basiswert beträgt 10.0 (Critical). Microsoft gibt an, dass das Problem serverseitig vollständig behoben wurde und Kunden keine Massnahmen ergreifen müssen.
Betroffen
- Microsoft Azure Kubernetes Configuration Service
- Kundenseitige Versionsnummern: Unbekannt.
- Ein Drittanbieter-Tracker listet alle Versionen als betroffen; dies ist nicht durch Microsoft bestätigt.
Behoben in
- Serverseitig durch Microsoft behoben; kein Kunden-Update erforderlich.
- Kundenseitig korrigierte Version: Unbekannt.
Umgehung
- Laut Microsoft sind keine Massnahmen durch Kunden erforderlich.
- Keine kundenseitige Workaround-Massnahme identifiziert.
Ausnutzung
- Nicht im Katalog der CISA KEV aufgeführt. EPSS: Unbekannt.
- Microsoft-Temporalmetriken: Exploit Code Maturity Unproven (E:U).
- Zum Zeitpunkt der Recherche wurden kein öffentlicher Proof-of-Concept und keine Berichte über Ausnutzung in freier Wildbahn gefunden.
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.
Unsere Empfehlung
- Microsoft dokumentiert keine Kundenmassnahme; den CVE für betroffene Azure-Mandanten als vom Hersteller behoben erfassen.
- Das MSRC Security Update Guide und Azure/AKS-Advisories auf Hinweise für Kunden überwachen.
- Den Status öffentlicher Exploits in etwa einer Woche erneut prüfen.
Angaben von Microsoft (Patch Tuesday Oktober 2026)
Öffentliche Exploits
Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.
- Proof of Concept auf GitHub (1 Repositories)
mehmet-emir-eroglu/CVE-2026-83938
Quellen der Recherche
- Microsoft Security Update Guide: CVE-2026-83938 msrc.microsoft.com
- Rapid7 vulnerability database entry www.rapid7.com
- VulDB entry vuldb.com
- OffSeq threat radar entry radar.offseq.com
- Positive Technologies via Vulners vulners.com
- MSRC security guidance msrc.microsoft.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 13:56.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.