Microsoft Azure DevOps Server: Autorisierungsumgehung führt zu Rechteerweiterung
Zusammenfassung
Ein Fehler in selbst gehostetem Azure DevOps Server erlaubt eine Autorisierungsumgehung über einen vom Benutzer kontrollierbaren Schlüssel (CWE-639, unsichere direkte Objektreferenz). Ein Angreifer mit einem gültigen Konto mit niedrigen Rechten im Netzwerk kann seine Rechte erweitern, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Azure DevOps Services (Cloud) ist gemäss dieser Beschreibung nicht betroffen. Der CVSS-Wert und die CWE stammen aus der Anfrage und konnten nicht unabhängig überprüft werden.
Betroffen
- Microsoft Azure DevOps Server 1.0.0 bis vor Patch 10 (gemäss offizieller CVE-Meldung)
- Genaue betroffene Builds: Unbekannt.
Behoben in
Unbekannt. Die Versionshinweise zu Patch 9 verweisen nicht auf diese CVE. Die Behebung im MSRC-Advisory prüfen.
Umgehung
Unbekannt. Es wurden keine Herstellerhinweise zu Gegenmassnahmen gefunden. Bis eine Behebung bestätigt ist, den Zugriff auf Konten mit gültigem Zugang zum Server einschränken und Projekt- und Gruppenberechtigungen überprüfen.
Ausnutzung
Unbekannt. Es wurden keine Berichte über Ausnutzung in freier Wildbahn und kein öffentlicher Proof-of-Concept-Code gefunden.
Unsere Empfehlung
- Alle selbst gehosteten Azure DevOps Server und deren genaue Builds erfassen.
- Das MSRC-Advisory für betroffene und behobene Builds lesen und das Update prioritär einspielen.
- Konten und Gruppenmitgliedschaften auf jedem Server überprüfen, insbesondere Entwickler- und Dienstleisterkonten.
- Prüfen, ob der Server aus dem Internet erreichbar ist, und den Zugriff nach Möglichkeit auf das Firmennetz beschränken.
- Authentifizierungs- und Berechtigungsänderungen auf dem Server überwachen.
Angaben von Microsoft (Patch Tuesday November 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- MSRC Security Update Guide: CVE-2026-85923 msrc.microsoft.com
- Azure DevOps Server release notes learn.microsoft.com
- Azure DevOps Server lifecycle (endoflife.date) endoflife.date
- Microsoft November 2026 Patch Tuesday coverage cybersecuritynews.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 20:57.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.