Microsoft Azure Storage Library: Injection führt zu unberechtigter Löschung
Zusammenfassung
Die Client-Bibliothek Azure Storage Blobs für Java und die Bibliothek azure-storage-blob-batch neutralisieren Sonderzeichen in Werten, die von einer nachgelagerten Komponente verwendet werden, nicht korrekt. Ein authentifizierter Angreifer, der einer Anwendung mit der betroffenen Bibliothek eine Blob-Tag-Bedingung übergeben kann, kann unberechtigte Löschoptionen zu einer erlaubten Storage-Operation hinzufügen, sodass Recovery-Snapshots oder Blobs gelöscht werden, obwohl die Anwendung dies nicht beabsichtigt hat. Für den Angriff ist Netzwerkzugriff und eine niedrige Berechtigungsstufe nötig, eine Benutzerinteraktion ist nicht erforderlich; die Bibliothek selbst öffnet keinen lauschenden Dienst.
Betroffen
- azure-storage-blob-batch: 1.0.0 bis vor 12.31.2
- Client-Bibliothek Azure Storage Blobs für Java: Versionsbereich unbekannt (vom Hersteller nicht angegeben)
Behoben in
- Korrigierte Version: Unbekannt. Prüfen Sie das MSRC-Advisory auf das aktuelle Security Update für azure-storage-blob-batch und die Java-Client-Bibliothek.
Umgehung
- Vom Hersteller wurde kein Workaround veröffentlicht.
- Benutzereingaben, die Blob-Tag-Bedingungen und Blob-Löschoptionen in Ihren Anwendungen erreichen können, einschränken (eigene Empfehlung, keine Herstelleraussage).
Ausnutzung
- Öffentlicher Proof-of-Concept: keiner gefunden.
- Ausnutzung in freier Wildbahn: keine Hinweise gefunden.
- Nicht im CISA-KEV-Katalog gelistet.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- Der MSRC-Temporal-Score verwendet die Exploit-Reife Unproven (E:U).
Unsere Empfehlung
- Java-Anwendungen und Abhängigkeiten auf azure-storage-blob und azure-storage-blob-batch prüfen.
- Das MSRC-Advisory prüfen und beide Bibliotheken auf die neueste Version aktualisieren, sobald eine korrigierte Version bestätigt ist.
- Bis dahin Benutzereingaben in Blob-Tag-Bedingungen und Löschoptionen validieren oder einschränken.
- Priorität: mittel für KMU mit eigenen Java-/Azure-Anwendungen; gering, wenn keine Software auf diesen SDKs basiert.
Angaben von Microsoft (Patch Tuesday Oktober 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- MSRC Security Update Guide: CVE-2026-88094 msrc.microsoft.com
- OpenCVE: CVE-2026-88094 app.opencve.io
- Vulners CVE record: CVE-2026-88094 vulners.com
- Rapid7: Patch Tuesday October 2026 www.rapid7.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 19:18.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.