POC-CVE-2026-42826-2026-42826-Microsoft-Azure-DevOps-Information-Disclosure-Vulnerability

Explota CVE-2026-42826 para enumerar y extraer datos confidenciales de Azure DevOps mediante solicitudes no autenticadas a la API REST: canalizaciones YAML, grupos de variables, conexiones de servicio y registros de compilación.

Descripción de la vulnerabilidad

Azure DevOps puede exponer configuraciones de pipeline, contenido de grupos de variables y artefactos de compilación a solicitudes HTTP no autenticadas bajo ciertas condiciones. Un atacante remoto envía solicitudes manipuladas a la API REST de Azure DevOps y recibe respuestas JSON que contienen:

• Configuraciones YAML de pipeline
• Metadatos de grupos de variables (incluidos los nombres de las variables secretas)
• Identificadores de conexiones de servicio
• Fragmentos de registros de compilación
• Contenidos del repositorio

No se requieren credenciales cuando el proyecto objetivo está configurado con visibilidad pública, o cuando un endpoint interno de API no aplica las comprobaciones de autenticación antes de devolver datos.

Vector CVSS

Vectores de ataque

1. Acceso no autenticado a la API (proyectos públicos)

Las organizaciones con proyectos públicos habilitados exponen repositorios, pipelines, artefactos y elementos de trabajo a internet no autenticado.

2. Omisión de autenticación

Endpoints internos específicos de la API no aplican comprobaciones de autenticación antes de devolver datos sensibles.

3. Reconocimiento de pipeline YAML

Los archivos YAML de pipeline de proyectos públicos hacen referencia a conexiones de servicio y grupos de variables por nombre, revelando la estructura de suscripciones de Azure, objetivos de implementación, URL de registros y nombres de entornos.

4. Extracción de conexiones de servicio

Los metadatos de las conexiones de servicio (ID de suscripción de Azure, ID de inquilino, ID de clúster de Kubernetes) se exponen a través de la API.

5. Recolección de grupos de variables

Los valores de variables no secretas son visibles en la interfaz de usuario, se devuelven a través de la API y se imprimen en los registros de compilación.

6. Extracción de fragmentos de registros de compilación

Los registros de compilación pueden contener datos de configuración sensibles, variables de entorno y detalles de infraestructura.

Archivos

Documentación

Uso

Inicio rápido (escaneo no autenticado)

Explotación completa (con PAT)

Azure DevOps Server local

Comprobación de detección y endurecimiento

Ejecutar pruebas

Impacto

• Exfiltración de código fuente: todos los contenidos del repositorio accesibles
• Exposición de credenciales: nombres de conexiones de servicio, ID de suscripción de Azure, ID de inquilino
• Reconocimiento de pipeline: las configuraciones YAML revelan la topología de la infraestructura
• Recolección de variables: valores de variables no secretas en texto plano
• Análisis de registros de compilación: datos sensibles en fragmentos de registros
• Planificación de movimiento lateral: mapeo de infraestructura para ataques dirigidos

Diagrama de flujo de ataque

Consulte DIAGRAM.md para ver los diagramas de arquitectura completos.

Mitigación

1. Configurar todos los proyectos como privados — Deshabilitar la visibilidad pública de los proyectos
2. Bloquear proyectos públicos a nivel de organización — Establecer la política de la organización para evitar futuros proyectos públicos
3. Marcar todas las variables sensibles como secretas — Las variables no secretas se exponen a través de la API
4. Restringir las conexiones de servicio — Deshabilitar "Allow all pipelines" en las conexiones de servicio
5. Usar PAT con ámbito limitado — Limitar el ámbito del PAT a Code (Read) con caducidad de 90 días
6. Escanear los registros de compilación — Eliminar datos sensibles de la salida de los registros
7. Aplicar la actualización de seguridad — Azure DevOps Server 2026.0.1+

Referencias

• Entrada NVD
• Aviso de GitHub GHSA-gmwx-3xm2-9fx8
• Guía de actualizaciones de seguridad de Microsoft
• CWE-200

Licencia

MIT