Microsoft Container Migration Solution Accelerator — это мультисервисное приложение, которое предоставляет многоагентное решение для миграции на основе искусственного интеллекта для перемещения конфигураций службы контейнеров в службу Azure Kubernetes. В версии 2.1.2 и более ранних версиях в ускорителе решений для миграции контейнеров была обнаружена уязвимость безопасности, а именно аутентифицированный IDOR (небезопасная прямая ссылка на объект), которая позволяет пользователям читать, записывать и удалять процессы, принадлежащие другим аутентифицированным пользователям. Проблема затрагивает несколько конечных точек API, где отсутствуют проверки владения, что обеспечивает несанкционированный доступ и изменение данных миграции между пользователями в одной организации.
Уязвимость присутствует как в API-интерфейсах управления процессами, так и в файлах. Приложение использует аутентификацию Entra ID, но не имеет надлежащего контроля авторизации между пользователями. Аутентифицированные пользователи могут получать доступ, изменять и удалять процессы и файлы, принадлежащие другим пользователям, без надлежащей проверки авторизации.
Показать оригинальное описание (EN)
The Microsoft Container Migration Solution Accelerator is a multi-service application that provides a multi-agent, AI-driven migration solution for moving container service configurations to Azure Kubernetes Service. In version 2.1.2 and earlier, a security vulnerability was identified in the Container Migration Solution Accelerator, specifically an authenticated IDOR (Insecure Direct Object Reference) that allows users to read, write, and delete processes belonging to other authenticated users. The issue affects multiple API endpoints, where ownership checks are missing, enabling unauthorized access and modification of migration data across users within the same organization. The vulnerability is present in both process and file management APIs, and the application relies on Entra ID authentication but lacks proper authorization controls between users. Authenticated users are able to access, modify, and delete processes and files belonging to other users without proper authorization checks.
Характеристики атаки
Последствия
Строка CVSS v4.0