Tenant-Übernahme möglich und drei kritische Sicherheitslücke in MS-Infrastruktur

Jeffrey Schwartz berichtet von der BlackHat 2026 in den USA, und einem speziellen Thema: Die Standard-Einstellung in Azure Automation ermöglichte eine mandantenübergreifende Identitätsübernahme. Dann gab es drei kritische Sicherheitslücken in der Infrastruktur von Microsoft (u.a. bei Bing Images), die die Ausführung von Remote-Code (RCE) ermöglichen. Kleine Nachschau zu diesen Sachverhalten.

Identitätsübernahme per Azure Automation-Einstellung

Azure Automation wird intern bei Microsoft sowie von Unternehmen, die Azure für DevOps, die Bereitstellung von Ressourcen, die Installation von Patches und die Rotation von Geheimnissen nutzen, in großem Umfang eingesetzt. Dabei kommen skriptbasierte Runbooks zum Einsatz, die mit eingebetteten verwalteten Identitäten verknüpft sind.

Ich bin zum Wochenende über nachfolgenden Tweet auf einen unschönen Sachverhalt gestoßen. In Microsofts Azure gab es die Möglichkeit einer mandantenübergreifenden Identitätsübernahme. Ermöglicht wurde dies durch die Standardkonfiguration von Azure Automation.

Shay Shavit, ein leitender Sicherheitsforscher im Azure Networking Security Research-Team von Microsoft, entdeckte die Sicherheitslücke im vergangenen Jahr und meldete sie dem Microsoft Security Response Center (MSRC).

Microsoft hat darauf hin die standardmäßig öffentliche Konfiguration sowie eine Kette von Codefehlern in Azure Automation, die es Angreifern ermöglicht hätten, die Identität eines anderen Mandanten zu übernehmen und auf die Daten, Anmeldedaten und Cloud-Workloads anderer zuzugreifen, so korrigiert, dass der Angriff nicht mehr möglich ist. Gleichzeitig wurde eine Sicherheitsempfehlung herausgegeben. Jeffry Schwarz hat mehr Details auf Dark Reading im Beitrag Default Azure Automation Setting Enables Cross-Tenant Identity Takeover zusammen getragen.

Drei kritische Sicherheitslücke in MS-Infrastruktur

Über nachfolgenden Tweet von Cyber Security News bin ich auf deren Artikel Bing Images Vulnerability Lets Attackers Execute Remote Code on Microsoft Servers vom 24. Juli 2026 gestoßen.

Es gab gleich drei kritische Sicherheitslücken in der Infrastruktur von Microsoft, lautete die Botschaft des Tweets. Neben der oben erwähnten Möglichkeit einer tenantweiten Übernahme gab es zwei Schwachstellen in Bing Images. Diese ermöglichen es Angreifern, Backend-Server zur Bildverarbeitung allein mithilfe einer manipulierten SVG-Datei zu kapern.

Denn die umgekehrte Bildersuche (reverse image search) von Bing konnte dazu gebracht werden, eine vom Angreifer kontrollierte URL aus ihrem Backend abzurufen. Das sei ein klassisches Muster für Server-Side Request Forgery (SSRF), heißt es im Artikel. Sicherheitsforscher konnten aber einen Abruf bestätigen, indem sie ausgehende Anfragen aus der Bing-Infrastruktur mit dem User-Agent "bingbot/2.0" beobachteten. Anschließend stellten sie inkonsistente HTTP-500-Fehler fest, die darauf hindeuteten, dass das Backend mehr tat, als nur ein Bild abzurufen. Details lassen sich im oben verlinkten Beitrag abrufen.