Michal Kamensky

Incorrect permission assignment for critical resource in Azure Local allows an authorized attacker to elevate privileges locally.

تسمح عملية التحقق غير السليمة من صحة المدخلات لمهاجم مخول بالكشف عن معلومات عبر الشبكة.

يتيح التحميل غير المقيد للملفات ذات الأنواع الخطرة لمهاجم غير مصرح له تنفيذ تعليمات برمجية عبر الشبكة. تتيح هذه المشكلة تنفيذ التعليمات البرمجية عن بُعد (RCE) دون مصادقة، وهي القدرة على تنفيذ أوامر عشوائية على الجهاز المستهدف من موقع بعيد.

يوجد عيب في المصادقة غير الملائمة في Azure Arc قد يسمح لمهاجم مخول برفع امتيازاته محليًّا. أعلنت Microsoft عن ثلاث ثغرات تتعلق برفع الامتيازات في الأجهزة الافتراضية لـ Azure، مما قد يمنح المستخدمين المصرح لهم وصولاً كمسؤول محلي في الأجهزة الافتراضية التي تعمل بنظامي التشغيل Windows وLinux مع تمكين Arc.

يحتوي البرنامج على ثغرة في طريقة إنشاء الكود، مما يتيح لمهاجم موجود على نفس الشبكة تنفيذ كود دون إذن. لا توجد معلومات حول عدد الأجهزة التي قد تكون متأثرة أو حول حوادث فعلية تم فيها استغلال هذه الثغرة الأمنية. تتعلق المشكلة بعدم كفاية التحكم في إنشاء الكود، وهو ما يُعرف أيضًا باسم «حقن الكود».

قد يؤدي خلل في عملية التحقق من صحة الشهادات في Azure Local إلى تمكين مهاجم عن بُعد من تنفيذ تعليمات برمجية. تتضمن هذه المشكلة أخطاء في عملية مصادقة الشهادات.

اسم البرنامج المعرض للثغرة والإصدارات المتأثرة: Azure File Sync (الإصدارات المتأثرة غير محددة) الوصف: قد يؤدي التحكم غير السليم في الوصول في Azure File Sync إلى تمكين مهاجم مصرح له من رفع مستوى امتيازاته محليًّا. التوصيات: حتى الآن، لا توجد معلومات عن إصدار أحدث يتضمن تصحيحًا لهذه الثغرة الأمنية.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: Azure Monitor Agent (الإصدارات المتأثرة غير محددة) الوصف: تتعلق المشكلة بالتحكم غير السليم في إنشاء الكود، والمعروف أيضًا باسم «حقن الكود»، في Azure Monitor Agent. وهذا يتيح لمهاجم غير مصرح له تنفيذ كود في شبكة مجاورة. التوصيات: لا توجد في الوقت الحالي أي معلومات حول إصدار أحدث يحتوي على تصحيح لهذه الثغرة الأمنية.