{"id":327845,"date":"2026-07-27T00:04:33","date_gmt":"2026-07-26T22:04:33","guid":{"rendered":"https:\/\/borncity.com\/blog\/?p=327845"},"modified":"2026-07-26T11:27:55","modified_gmt":"2026-07-26T09:27:55","slug":"tenant-uebernahme-moeglich-und-drei-kritische-sicherheitsluecke-in-ms-infrastruktur","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2026\/07\/27\/tenant-uebernahme-moeglich-und-drei-kritische-sicherheitsluecke-in-ms-infrastruktur\/","title":{"rendered":"Tenant-\u00dcbernahme m\u00f6glich und drei kritische Sicherheitsl\u00fccke in MS-Infrastruktur"},"content":{"rendered":"

\"SicherheitJeffrey Schwartz berichtet von der BlackHat 2026 in den USA, und einem speziellen Thema: Die Standard-Einstellung in Azure Automation erm\u00f6glichte eine mandanten\u00fcbergreifende Identit\u00e4ts\u00fcbernahme. Dann gab es drei kritische Sicherheitsl\u00fccken in der Infrastruktur von Microsoft (u.a. bei Bing Images), die die Ausf\u00fchrung von Remote-Code (RCE) erm\u00f6glichen. Kleine Nachschau zu diesen Sachverhalten.<\/p>\n

<\/p>\n

Identit\u00e4ts\u00fcbernahme per\u00a0Azure Automation-Einstellung<\/h2>\n

\"\"Azure Automation wird intern bei Microsoft sowie von Unternehmen, die Azure f\u00fcr DevOps, die Bereitstellung von Ressourcen, die Installation von Patches und die Rotation von Geheimnissen nutzen, in gro\u00dfem Umfang eingesetzt. Dabei kommen skriptbasierte Runbooks zum Einsatz, die mit eingebetteten verwalteten Identit\u00e4ten verkn\u00fcpft sind.<\/p>\n

Ich bin zum Wochenende \u00fcber nachfolgenden Tweet<\/a> auf einen unsch\u00f6nen Sachverhalt gesto\u00dfen. In Microsofts Azure gab es die M\u00f6glichkeit einer mandanten\u00fcbergreifenden Identit\u00e4ts\u00fcbernahme. Erm\u00f6glicht wurde dies durch die Standardkonfiguration von Azure Automation.<\/p>\n

\"Azure-Automation-Tenant-\u00dcbernahme\"<\/a><\/p>\n

Shay Shavit, ein leitender Sicherheitsforscher im Azure Networking Security Research-Team von Microsoft, entdeckte die Sicherheitsl\u00fccke im vergangenen Jahr und meldete sie dem Microsoft Security Response Center (MSRC).<\/p>\n

Microsoft hat darauf hin die standardm\u00e4\u00dfig \u00f6ffentliche Konfiguration sowie eine Kette von Codefehlern in Azure Automation, die es Angreifern erm\u00f6glicht h\u00e4tten, die Identit\u00e4t eines anderen Mandanten zu \u00fcbernehmen und auf die Daten, Anmeldedaten und Cloud-Workloads anderer zuzugreifen, so korrigiert, dass der Angriff nicht mehr m\u00f6glich ist. Gleichzeitig wurde eine Sicherheitsempfehlung herausgegeben. Jeffry Schwarz hat mehr Details auf Dark Reading im Beitrag\u00a0Default Azure Automation Setting Enables Cross-Tenant Identity Takeover<\/a> zusammen getragen.<\/p>\n

Drei kritische Sicherheitsl\u00fccke in MS-Infrastruktur<\/h2>\n

\u00dcber nachfolgenden Tweet<\/a> von Cyber Security News bin ich auf deren Artikel\u00a0Bing Images Vulnerability Lets Attackers Execute Remote Code on Microsoft Servers<\/a> vom 24. Juli 2026 gesto\u00dfen.<\/p>\n

\"Bing<\/a><\/p>\n

Es gab gleich drei kritische Sicherheitsl\u00fccken in der Infrastruktur von Microsoft, lautete die Botschaft des Tweets. Neben der oben erw\u00e4hnten M\u00f6glichkeit einer tenantweiten \u00dcbernahme gab es zwei Schwachstellen in Bing Images. Diese erm\u00f6glichen es Angreifern, Backend-Server zur Bildverarbeitung allein mithilfe einer manipulierten SVG-Datei zu kapern.<\/p>\n

Denn die umgekehrte Bildersuche (reverse image search) von Bing konnte dazu gebracht werden, eine vom Angreifer kontrollierte URL aus ihrem Backend abzurufen. Das sei ein klassisches Muster f\u00fcr Server-Side Request Forgery (SSRF), hei\u00dft es im Artikel. Sicherheitsforscher konnten aber einen Abruf best\u00e4tigen, indem sie ausgehende Anfragen aus der Bing-Infrastruktur mit dem User-Agent \"bingbot\/2.0\" beobachteten. Anschlie\u00dfend stellten sie inkonsistente HTTP-500-Fehler fest, die darauf hindeuteten, dass das Backend mehr tat, als nur ein Bild abzurufen. Details lassen sich im oben verlinkten Beitrag abrufen.<\/p>\n","protected":false},"excerpt":{"rendered":"

Jeffrey Schwartz berichtet von der BlackHat 2026 in den USA, und einem speziellen Thema: Die Standard-Einstellung in Azure Automation erm\u00f6glichte eine mandanten\u00fcbergreifende Identit\u00e4ts\u00fcbernahme. Dann gab es drei kritische Sicherheitsl\u00fccken in der Infrastruktur von Microsoft (u.a. bei Bing Images), die die … Weiterlesen →<\/span><\/a><\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[7263,426],"tags":[1855,1171,15608,672,4328],"class_list":["post-327845","post","type-post","status-publish","format-standard","hentry","category-cloud","category-sicherheit","tag-bing","tag-cloud","tag-m365","tag-microsoft","tag-sicherheit"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/327845","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=327845"}],"version-history":[{"count":5,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/327845\/revisions"}],"predecessor-version":[{"id":327855,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/327845\/revisions\/327855"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=327845"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=327845"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=327845"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}