Kwetsbaarheden verholpen in Microsoft Azure

Deze pagina zet de platte tekst van officiële advisories automatisch om naar HTML. Hierbij kan mogelijk informatie verloren gaan. De Signed PGP-versies zijn leidend.

Publicatie

Kans

Schade

Versie 1.00

11-06-2024

NCSC-2024-0249

medium

high

Signed-PGP →
CSAF →
PDF →

11-06-2024

medium

high

NCSC-2024-0249 [1.00]

Signed-PGP →
Text, CSAF (sig), PDF

Kenmerken

Improper Link Resolution Before File Access ('Link Following')
Use of Unmaintained Third Party Components
Exposure of Sensitive Information to an Unauthorized Actor
Concurrent Execution using Shared Resource with Improper Synchronization ('Race Condition')

Omschrijving

Microsoft heeft kwetsbaarheden verholpen in Azure producten. Een kwaadwillende kan de kwetsbaarheden misbruiken om een Denial-of-Service te veroorzaken, of om zich verhoogde rechten toe te kennen en mogelijk handelingen uit te voeren met beheerdersrechten. De ernstigste kwetsbaarheid heeft kenmerk CVE-2024-37325 toegewezen gekregen. Deze kwetsbaarheid bevindt zich in de Data Science Virtual Machines met versies kleiner dan 24.05.24 welke draaien op Linux/Ubuntu. Een ongeauthenticeerde kwaadwillende kan de gebruikersgegevens van deze VM's achterhalen en inloggen als het slachtoffer. ``` Azure Storage Library:

CVE-ID	CVSS	Impact
CVE-2024-35252	7.50	Denial-of-Service

Azure Monitor:

CVE-ID	CVSS	Impact
CVE-2024-35254	7.10	Verkrijgen van verhoogde rechten

Azure File Sync:

CVE-ID	CVSS	Impact
CVE-2024-35253	4.40	Verkrijgen van verhoogde rechten

Azure Data Science Virtual Machines:

CVE-ID	CVSS	Impact
CVE-2024-37325	9.80	Verkrijgen van verhoogde rechten

Azure SDK:

CVE-ID	CVSS	Impact
CVE-2024-35255	5.50	Verkrijgen van verhoogde rechten

```

Bereik

Platforms	Producten	Versies
	microsoft azure_data_science_virtual_machines microsoft azure_file_sync microsoft azure_identity_library microsoft azure_identity_library_for_.net microsoft azure_identity_library_for_c__ microsoft azure_identity_library_for_java microsoft azure_identity_library_for_javascript microsoft azure_identity_library_for_python microsoft azure_monitor microsoft azure_storage microsoft microsoft_authentication_library	1.0.0 - 1.0.0 - 16.0.0 - 17.0.0 - 1.0.0 - 1.0.0 - 1.0.0 - 1.0.0 - 1.0.0 - 1.0.0 - 1.0.0 - 1.0.0 - 1.0.0

Oplossingen

Microsoft heeft updates beschikbaar gesteld waarmee de beschreven kwetsbaarheden worden verholpen. We raden u aan om deze updates te installeren. Meer informatie over de kwetsbaarheden, de installatie van de updates en eventuele work-arounds [Link]

CVE’s

CVE-2024-35252, CVE-2024-35253, CVE-2024-35254, CVE-2024-35255, CVE-2024-37325

Versie 1.00

11-06-2024

NCSC-2024-0249

medium

high

Signed-PGP →
CSAF →
PDF →

11-06-2024

medium

high

NCSC-2024-0249 [1.00]

Signed-PGP →
Text, CSAF (sig), PDF

Vrijwaringsverklaring

Door gebruik van deze security advisory gaat u akkoord met de navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke zorg heeft betracht bij de samenstelling van dit beveiligingsadvies, kan het NCSC niet instaan voor de volledigheid, juistheid of (voortdurende) actualiteit van dit beveiligingsadvies. De informatie in dit beveiligingsadvies is uitsluitend bedoeld als algemene informatie voor professionele partijen. Aan de informatie in dit beveiligingsadvies kunnen geen rechten worden ontleend.
Het NCSC en de Staat zijn niet aansprakelijk voor enige schade ten gevolge van het gebruik of de onmogelijkheid van het gebruik van dit beveiligingsadvies, waaronder begrepen schade ten gevolge van de onjuistheid of onvolledigheid van de informatie in dit beveiligingsadvies.
Op dit beveiligingsadvies is Nederlands recht van toepassing. Alle geschillen in verband met en/of voortvloeiend uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de voorzieningenrechter in kort geding.