POC-CVE-2026-42826-2026-42826-Microsoft-Azure-DevOps-Information-Disclosure-Vulnerability

Exploite CVE-2026-42826 pour énumérer et extraire des données sensibles d'Azure DevOps via des requêtes API REST non authentifiées : YAML de pipeline, groupes de variables, connexions de service et journaux de build.

Description de la vulnérabilité

Azure DevOps peut servir la configuration des pipelines, le contenu des groupes de variables et les artefacts de build à des requêtes HTTP non authentifiées dans certaines conditions. Un attaquant distant envoie des requêtes malveillantes à l'API REST Azure DevOps et reçoit des réponses JSON contenant :

• Configurations YAML des pipelines
• Métadonnées des groupes de variables (y compris les noms des variables secrètes)
• Identifiants des connexions de service
• Fragments de journaux de build
• Contenus des dépôts

Aucun identifiant n'est requis lorsque le projet cible est configuré en visibilité publique, ou lorsqu'un point de terminaison API interne n'applique pas les contrôles d'authentification avant de renvoyer des données.

Vecteur CVSS

Vecteurs d'attaque

1. Accès API non authentifié (Projets publics)

Les organisations ayant activé les projets publics exposent les dépôts, pipelines, artefacts et éléments de travail à l'internet non authentifié.

2. Contournement de l'authentification

Certains points de terminaison API internes ne parviennent pas à appliquer les contrôles d'authentification avant de renvoyer des données sensibles.

3. Reconnaissance des pipelines YAML

Les fichiers YAML des pipelines des projets publics référencent les connexions de service et les groupes de variables par nom, révélant la structure des abonnements Azure, les cibles de déploiement, les URL des registres et les noms d'environnements.

4. Extraction des connexions de service

Les métadonnées des connexions de service (ID d'abonnement Azure, ID de locataire, ID de cluster Kubernetes) sont exposées via l'API.

5. Collecte des groupes de variables

Les valeurs des variables non secrètes sont visibles dans l'interface, renvoyées par l'API et imprimées dans les journaux de build.

6. Extraction des fragments de journaux de build

Les journaux de build peuvent contenir des données de configuration sensibles, des variables d'environnement et des détails d'infrastructure.

Fichiers

Documentation

Utilisation

Démarrage rapide (Analyse non authentifiée)

Exploitation complète (avec PAT)

Azure DevOps Server sur site

Vérification de détection et de durcissement

Exécuter les tests

Impact

• Exfiltration du code source : tous les contenus des dépôts sont accessibles
• Exposition des identifiants : noms des connexions de service, ID d'abonnement Azure, ID de locataire
• Reconnaissance des pipelines : les configurations YAML révèlent la topologie de l'infrastructure
• Collecte de variables : valeurs de variables non secrètes en clair
• Analyse des journaux de build : données sensibles dans les fragments de journaux
• Planification de mouvement latéral : cartographie de l'infrastructure pour des attaques ciblées

Diagramme du flux d'attaque

Voir DIAGRAM.md pour les diagrammes d'architecture complets.

Mesures d'atténuation

1. Définir tous les projets en privé — Désactiver la visibilité publique des projets
2. Bloquer les projets publics au niveau de l'organisation — Définir une politique d'organisation pour empêcher de futurs projets publics
3. Marquer toutes les variables sensibles comme secrètes — Les variables non secrètes sont exposées via l'API
4. Restreindre les connexions de service — Désactiver « Autoriser tous les pipelines » sur les connexions de service
5. Utiliser des PAT à portée limitée — Limiter la portée du PAT à Code (Read) avec une expiration de 90 jours
6. Analyser les journaux de build — Supprimer les données sensibles de la sortie des journaux
7. Appliquer la mise à jour de sécurité — Azure DevOps Server 2026.0.1+

Références

• Entrée NVD
• Avis GitHub GHSA-gmwx-3xm2-9fx8
• Guide des mises à jour de sécurité Microsoft
• CWE-200

Licence

MIT