CVE-2025-66390

सारांश

माइक्रोसॉफ्ट एज़्योर एपीआई मैनेजमेंट में 2025-10-17 तक, जब टेनेंट A में सेल्फ-सर्विस साइनअप (यूज़रनेम/पासवर्ड बेसिक ऑथेंटिकेशन) सक्षम होता है, तो एक हमलावर होस्टनाम या टेनेंट आइडेंटिफ़ायर को टेनेंट B में बदलकर रजिस्ट्रेशन फ्लो का पुनः उपयोग कर सकता है, भले ही टेनेंट B में UI स्तर पर साइनअप अक्षम किया गया हो। दूसरे शब्दों में, UI में साइनअप को अक्षम करने से अंतर्निहित API एंडपॉइंट अक्षम नहीं होता (जो Host हेडर के आधार पर क्रॉस-टेनेंट अनुरोधों को अभी भी स्वीकार करता है)। नोट: आपूर्तिकर्ता का कहना है कि उन्होंने रिपोर्ट का मूल्यांकन किया और निर्धारित किया कि यह सुरक्षा सीमा को पार नहीं करता (अर्थात, देखा गया व्यवहार एक कॉन्फ़िगरेशन/स्टेट समस्या थी, न कि टेनेंट आइसोलेशन को प्रभावित करने वाली एक शोषणीय उत्पाद भेद्यता)। नोट: आपूर्तिकर्ता ने इस रिपोर्ट का मूल्यांकन किया और निर्धारित किया कि यह सुरक्षा सीमा को पार नहीं करता (अर्थात, देखा गया व्यवहार एक कॉन्फ़िगरेशन/स्टेट समस्या थी, न कि टेनेंट आइसोलेशन को प्रभावित करने वाली एक शोषणीय उत्पाद भेद्यता)।

• Azure-APIM-Cross-Tenant-Signup-Bypassअनुसंधान

  सुरक्षा परामर्श: Azure APIM डेवलपर पोर्टल UI साइनअप प्रतिबंधों को बायपास करके क्रॉस-टेनेंट खाता पंजीकरण की अनुमति देता है। MSRC को दो बार रिपोर्ट किया गया - "बाय डिज़ाइन" के रूप में बंद किया गया।

• Azure-APIM-Dev-Portal-Signup-Bypassएक्सप्लॉइट

  Python स्क्रिप्ट जो UI अक्षम होने पर Azure APIM साइनअप को बायपास करती है, यह CVE-2025-66390 से अलग है क्योंकि इसमें क्रॉस टेनेंट में कुछ भी सेटअप करने की आवश्यकता नहीं होती है।