-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA512


   #####################################################
  ##  N C S C ~ B E V E I L I G I N G S A D V I E S  ##
 #####################################################

Titel           : Kwetsbaarheden verholpen in Microsoft Azure
Advisory ID     : NCSC-2024-0249
Versie          : 1.00
Kans            : medium
CVE ID          : CVE-2024-35252, CVE-2024-35253, CVE-2024-35254,
                  CVE-2024-35255, CVE-2024-37325
                  (Details over de kwetsbaarheden kunt u vinden op
                   de Mitre website: https://cve.mitre.org/cve/)
Schade          : high
                  Improper Link Resolution Before File Access ('Link
                  Following')
                  Use of Unmaintained Third Party Components
                  Exposure of Sensitive Information to an Unauthorized
                  Actor
                  Concurrent Execution using Shared Resource with
                  Improper Synchronization ('Race Condition')
Uitgiftedatum   : 20240611
Toepassing      : microsoft azure_data_science_virtual_machines
                  microsoft azure_file_sync
                  microsoft azure_identity_library
                  microsoft azure_identity_library_for_.net
                  microsoft azure_identity_library_for_c__
                  microsoft azure_identity_library_for_java
                  microsoft azure_identity_library_for_javascript
                  microsoft azure_identity_library_for_python
                  microsoft azure_monitor
                  microsoft azure_storage
                  microsoft microsoft_authentication_library
Versie(s)       :
Platform(s)     :

Beschrijving
   Microsoft heeft kwetsbaarheden verholpen in Azure producten.

   Een kwaadwillende kan de kwetsbaarheden misbruiken om een Denial-of-
   Service te veroorzaken, of om zich verhoogde rechten toe te kennen en
   mogelijk handelingen uit te voeren met beheerdersrechten.
   De ernstigste kwetsbaarheid heeft kenmerk CVE-2024-37325 toegewezen
   gekregen. Deze kwetsbaarheid bevindt zich in de Data Science Virtual
   Machines met versies kleiner dan 24.05.24 welke draaien op
   Linux/Ubuntu. Een ongeauthenticeerde kwaadwillende kan de
   gebruikersgegevens van deze VM's achterhalen en inloggen als het
   slachtoffer.
   ```
   Azure Storage Library:
   |----------------|------|-------------------------------------|
   | CVE-ID         | CVSS | Impact                              |
   |----------------|------|-------------------------------------|
   | CVE-2024-35252 | 7.50 | Denial-of-Service                   |
   |----------------|------|-------------------------------------|
   Azure Monitor:
   |----------------|------|-------------------------------------|
   | CVE-ID         | CVSS | Impact                              |
   |----------------|------|-------------------------------------|
   | CVE-2024-35254 | 7.10 | Verkrijgen van verhoogde rechten    |
   |----------------|------|-------------------------------------|
   Azure File Sync:
   |----------------|------|-------------------------------------|
   | CVE-ID         | CVSS | Impact                              |
   |----------------|------|-------------------------------------|
   | CVE-2024-35253 | 4.40 | Verkrijgen van verhoogde rechten    |
   |----------------|------|-------------------------------------|
   Azure Data Science Virtual Machines:
   |----------------|------|-------------------------------------|
   | CVE-ID         | CVSS | Impact                              |
   |----------------|------|-------------------------------------|
   | CVE-2024-37325 | 9.80 | Verkrijgen van verhoogde rechten    |
   |----------------|------|-------------------------------------|
   Azure SDK:
   |----------------|------|-------------------------------------|
   | CVE-ID         | CVSS | Impact                              |
   |----------------|------|-------------------------------------|
   | CVE-2024-35255 | 5.50 | Verkrijgen van verhoogde rechten    |
   |----------------|------|-------------------------------------|
   ```

Mogelijke oplossingen
   Microsoft heeft updates beschikbaar gesteld waarmee de beschreven
   kwetsbaarheden worden verholpen. We raden u aan om deze updates te
   installeren. Meer informatie over de kwetsbaarheden, de installatie
   van de updates en eventuele work-arounds vindt u op:
   https://portal.msrc.microsoft.com/en-us/security-guidance

   Referenties:


Vrijwaringsverklaring
   Door gebruik van deze security advisory gaat u akkoord met de
   navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke
   zorg heeft betracht bij de samenstelling van dit beveiligingsadvies,
   kan het NCSC niet instaan voor de volledigheid, juistheid of
   (voortdurende) actualiteit van dit beveiligingsadvies. De informatie
   in dit beveiligingsadvies is uitsluitend bedoeld als algemene
   informatie voor professionele partijen. Aan de informatie in dit
   beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC
   en de Staat zijn niet aansprakelijk voor enige schade ten gevolge
   van het gebruik of de onmogelijkheid van het gebruik van dit
   beveiligingsadvies, waaronder begrepen schade ten gevolge van de
   onjuistheid of onvolledigheid van de informatie in dit
   beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht
   van toepassing. Alle geschillen in verband met en/of voortvloeiend
   uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief
   bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de
   voorzieningenrechter in kort geding.

-----BEGIN PGP SIGNATURE-----
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=YRD0
-----END PGP SIGNATURE-----