CVE-2026-42826 — Azure DevOps PoC zur Offenlegung von Informationen

Überblick

Beschreibung der Schwachstelle

Azure DevOps kann unter bestimmten Bedingungen Pipeline-Konfigurationen, Inhalte von Variablengruppen und Build-Artefakte über nicht authentifizierte HTTP-Anfragen ausliefern. Ein entfernter Angreifer sendet manipulierte Anfragen an die Azure DevOps REST-API und erhält JSON-Antworten, die Folgendes enthalten:

• Pipeline-YAML-Konfigurationen
• Metadaten von Variablengruppen (einschließlich Namen geheimer Variablen)
• Bezeichner von Dienstverbindungen
• Build-Protokollfragmente
• Repository-Inhalte

Es sind keine Anmeldedaten erforderlich, wenn das Zielprojekt für öffentliche Sichtbarkeit konfiguriert ist oder wenn ein interner API-Endpunkt vor der Rückgabe von Daten keine Authentifizierungsprüfungen durchsetzt.

CVSS-Vektor

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H — 10.0 Critical

Angriffsvektoren

1. Nicht authentifizierter API-Zugriff (öffentliche Projekte)

Organisationen mit aktivierten öffentlichen Projekten legen Repos, Pipelines, Artefakte und Arbeitselemente für das nicht authentifizierte Internet offen.

2. Umgehung der Authentifizierung

Bestimmte interne API-Endpunkte erzwingen keine Authentifizierungsprüfungen, bevor sie vertrauliche Daten zurückgeben.

3. Pipeline-YAML-Aufklärung

Pipeline-YAML-Dateien öffentlicher Projekte verweisen namentlich auf Dienstverbindungen und Variablengruppen und legen so die Azure-Abonnementstruktur, Bereitstellungsziele, Registry-URLs und Umgebungsnamen offen.

4. Extrahierung von Dienstverbindungen

Metadaten von Dienstverbindungen (Azure-Abonnement-IDs, Mandanten-IDs, Kubernetes-Cluster-IDs) werden über die API offengelegt.

5. Ernten von Variablengruppen

Nicht geheime Variablenwerte sind in der Benutzeroberfläche sichtbar, werden von der API zurückgegeben und in Build-Protokollen ausgegeben.

6. Extrahierung von Build-Protokollfragmenten

Build-Protokolle können vertrauliche Konfigurationsdaten, Umgebungsvariablen und Infrastrukturdaten enthalten.

Dateien

Dokumentation

Verwendung

Schnellstart (nicht authentifizierter Scan)

# Check if organization has publicly exposed projects
python3 exploit.py -u https://dev.azure.com/targetorg

Vollständige Ausnutzung (mit PAT)

# Full exploitation with Personal Access Token
python3 exploit.py -u https://dev.azure.com/targetorg --pat YOUR_PAT_TOKEN

# Target specific project
python3 exploit.py -u https://dev.azure.com/targetorg --pat YOUR_PAT --project MyProject

# Save report to file
python3 exploit.py -u https://dev.azure.com/targetorg --pat YOUR_PAT -o report.json

On-Premises Azure DevOps Server

python3 exploit.py -u https://tfs.company.local/tfs/DefaultCollection --pat YOUR_PAT

Erkennungs- und Härtungsprüfung

python3 detect.py -u https://dev.azure.com/targetorg --pat YOUR_PAT

Tests ausführen

python3 test_exploit.py

Auswirkungen

• Exfiltration von Quellcode: Alle Repository-Inhalte zugänglich
• Offenlegung von Anmeldedaten: Dienstverbindungsnamen, Azure-Abonnement-IDs, Mandanten-IDs
• Pipeline-Aufklärung: YAML-Konfigurationen legen Infrastrukturtopologie offen
• Ernten von Variablen: Nicht geheime Variablenwerte im Klartext
• Analyse von Build-Protokollen: Vertrauliche Daten in Protokollfragmenten
• Planung lateraler Bewegung: Infrastruktur-Kartierung für gezielte Angriffe

Angriffsablauf-Diagramm

Attacker              Azure DevOps API
  │                         │
  │  GET /_apis/projects    │
  │  (no auth)              │
  │ ──────────────────────► │
  │                         │
  │  200 OK                 │
  │  { projects: [...] }    │
  │ ◄────────────────────── │
  │                         │
  │  GET /proj/_apis/       │
  │  pipelines              │
  │ ──────────────────────► │
  │                         │
  │  200 OK                 │
  │  { YAML configs }       │
  │ ◄────────────────────── │
  │                         │
  │  GET /proj/_apis/       │
  │  variablegroups         │
  │ ──────────────────────► │
  │                         │
  │  200 OK                 │
  │  { variables: {...} }   │
  │ ◄────────────────────── │
  │                         │
  │  Extract secrets,       │
  │  map infrastructure     │
  │                         │

Siehe DIAGRAM.md für vollständige Architekturdiagramme.

Gegenmaßnahmen

1. Alle Projekte auf privat setzen — Deaktivieren Sie die Sichtbarkeit öffentlicher Projekte
2. Öffentliche Projekte auf Organisationsebene blockieren — Legen Sie eine Organisationsrichtlinie fest, um zukünftige öffentliche Projekte zu verhindern
3. Alle vertraulichen Variablen als geheim markieren — Nicht geheime Variablen werden über die API offengelegt
4. Dienstverbindungen einschränken — Deaktivieren Sie „Allow all pipelines“ bei Dienstverbindungen
5. Eingeschränkte PATs verwenden — PAT-Bereich auf Code (Read) mit 90 Tagen Gültigkeit begrenzen
6. Build-Protokolle prüfen — Vertrauliche Daten aus der Protokollausgabe entfernen
7. Sicherheitsupdate einspielen — Azure DevOps Server 2026.0.1+

Referenzen

• NVD-Eintrag
• GitHub Advisory GHSA-gmwx-3xm2-9fx8
• Microsoft Security Update Guide
• CWE-200

Lizenz

MIT