CVE-2026-42826 — Azure DevOps सूचना प्रकटीकरण PoC

अवलोकन

फ़ील्ड	मान
CVE	CVE-2026-42826
CVSS	10.0 गंभीर (Microsoft) / 7.5 उच्च (NVD)
CWE	CWE-200 (अनधिकृत अभिनेता को संवेदनशील जानकारी का प्रकटीकरण)
GHSA	GHSA-gmwx-3xm2-9fx8
प्रभावित	Azure DevOps Services, Azure DevOps Server 2022/2025
पैच किया गया	Azure DevOps Server 2026.0.1+ (सेवाएँ सर्वर-साइड पर पैच की गईं)
खोजकर्ता	Noa Royzman (Microsoft)

भेद्यता विवरण

Azure DevOps कुछ शर्तों के तहत अनधिकृत HTTP अनुरोधों को पाइपलाइन कॉन्फ़िगरेशन, वेरिएबल समूह सामग्री और बिल्ड आर्टिफैक्ट्स की सेवा दे सकता है। एक दूरस्थ हमलावर Azure DevOps REST API को विशेष रूप से तैयार किए गए अनुरोध भेजता है और उसे JSON प्रतिक्रियाएँ प्राप्त होती हैं जिनमें शामिल हैं:

• पाइपलाइन YAML कॉन्फ़िगरेशन
• वेरिएबल समूह मेटाडेटा (गुप्त वेरिएबल्स के नाम सहित)
• सेवा कनेक्शन पहचानकर्ता
• बिल्ड लॉग अंश
• रिपॉज़िटरी सामग्री

कोई क्रेडेंशियल आवश्यक नहीं हैं जब लक्ष्य प्रोजेक्ट सार्वजनिक दृश्यता के लिए कॉन्फ़िगर किया गया हो, या जब कोई आंतरिक API एंडपॉइंट डेटा लौटाने से पहले प्रमाणीकरण जाँच लागू करने में विफल रहता है।

CVSS वेक्टर

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H — 10.0 Critical

हमले के वेक्टर

1. बिना प्रमाणीकरण के API एक्सेस (सार्वजनिक प्रोजेक्ट)

सार्वजनिक प्रोजेक्ट सक्षम वाले संगठन रिपॉज़िटरी, पाइपलाइन, आर्टिफैक्ट्स और कार्य आइटम को बिना प्रमाणीकरण वाले इंटरनेट के सामने उजागर करते हैं।

2. प्रमाणीकरण बाईपास

विशिष्ट आंतरिक API एंडपॉइंट्स संवेदनशील डेटा लौटाने से पहले प्रमाणीकरण जाँच लागू करने में विफल रहते हैं।

3. पाइपलाइन YAML टोही

सार्वजनिक प्रोजेक्ट पाइपलाइन YAML फ़ाइलें सेवा कनेक्शनों और वेरिएबल समूहों का नाम से संदर्भ देती हैं, जिससे Azure सब्सक्रिप्शन संरचना, डिप्लॉयमेंट लक्ष्य, रजिस्ट्री URL और पर्यावरण नाम प्रकट होते हैं।

4. सेवा कनेक्शन निष्कर्षण

सेवा कनेक्शन मेटाडेटा (Azure सब्सक्रिप्शन ID, टेनेंट ID, Kubernetes क्लस्टर ID) API के माध्यम से उजागर होता है।

5. वेरिएबल समूह संग्रहण

गैर-गुप्त वेरिएबल मान UI में दिखाई देते हैं, API द्वारा लौटाए जाते हैं, और बिल्ड लॉग में मुद्रित होते हैं।

6. बिल्ड लॉग अंश निष्कर्षण

बिल्ड लॉग में संवेदनशील कॉन्फ़िगरेशन डेटा, पर्यावरण चर और इंफ्रास्ट्रक्चर विवरण हो सकते हैं।

फ़ाइलें

फ़ाइल	उद्देश्य
exploit.py	मुख्य एक्सप्लॉइट — 6 हमले वेक्टर, गुप्त स्कैनिंग, रिपोर्ट निर्माण
detect.py	Azure DevOps इंस्टेंस के लिए पहचान और सुरक्षा-सख्तीकरण जाँचकर्ता
test_exploit.py	यूनिट परीक्षण (30+ परीक्षण सभी एक्सप्लॉइट कार्यक्षमता को मान्य करते हैं)

दस्तावेज़ीकरण

दस्तावेज़	सामग्री
USAGE.md	चरण-दर-चरण निर्देशों के साथ विस्तृत उपयोग मार्गदर्शिका
DIAGRAM.md	संरचना आरेख और हमले के प्रवाह का विज़ुअलाइज़ेशन

उपयोग

त्वरित आरंभ (बिना प्रमाणीकरण के स्कैन)

# Check if organization has publicly exposed projects
python3 exploit.py -u https://dev.azure.com/targetorg

पूर्ण एक्सप्लॉइटेशन (PAT के साथ)

# Full exploitation with Personal Access Token
python3 exploit.py -u https://dev.azure.com/targetorg --pat YOUR_PAT_TOKEN

# Target specific project
python3 exploit.py -u https://dev.azure.com/targetorg --pat YOUR_PAT --project MyProject

# Save report to file
python3 exploit.py -u https://dev.azure.com/targetorg --pat YOUR_PAT -o report.json

ऑन-प्रिमाइसेस Azure DevOps सर्वर

python3 exploit.py -u https://tfs.company.local/tfs/DefaultCollection --pat YOUR_PAT

पहचान और सुरक्षा-सख्तीकरण जाँच

python3 detect.py -u https://dev.azure.com/targetorg --pat YOUR_PAT

परीक्षण चलाएँ

python3 test_exploit.py

प्रभाव

• सोर्स कोड बहिर्निष्कासन: सभी रिपॉज़िटरी सामग्री सुलभ
• क्रेडेंशियल प्रकटीकरण: सेवा कनेक्शन नाम, Azure सब्सक्रिप्शन ID, टेनेंट ID
• पाइपलाइन टोही: YAML कॉन्फ़िगरेशन इंफ्रास्ट्रक्चर टोपोलॉजी प्रकट करते हैं
• वेरिएबल संग्रहण: गैर-गुप्त वेरिएबल मान प्लेनटेक्स्ट में
• बिल्ड लॉग विश्लेषण: लॉग अंशों में संवेदनशील डेटा
• पार्श्व गति योजना: लक्षित हमलों के लिए इंफ्रास्ट्रक्चर मैपिंग

हमले का प्रवाह आरेख

Attacker              Azure DevOps API
  │                         │
  │  GET /_apis/projects    │
  │  (no auth)              │
  │ ──────────────────────► │
  │                         │
  │  200 OK                 │
  │  { projects: [...] }    │
  │ ◄────────────────────── │
  │                         │
  │  GET /proj/_apis/       │
  │  pipelines              │
  │ ──────────────────────► │
  │                         │
  │  200 OK                 │
  │  { YAML configs }       │
  │ ◄────────────────────── │
  │                         │
  │  GET /proj/_apis/       │
  │  variablegroups         │
  │ ──────────────────────► │
  │                         │
  │  200 OK                 │
  │  { variables: {...} }   │
  │ ◄────────────────────── │
  │                         │
  │  Extract secrets,       │
  │  map infrastructure     │
  │                         │

पूर्ण आर्किटेक्चर आरेखों के लिए DIAGRAM.md देखें।

शमन

1. सभी प्रोजेक्ट निजी पर सेट करें — सार्वजनिक प्रोजेक्ट दृश्यता अक्षम करें
2. संगठन स्तर पर सार्वजनिक प्रोजेक्ट ब्लॉक करें — भविष्य के सार्वजनिक प्रोजेक्ट रोकने के लिए संगठन नीति निर्धारित करें
3. सभी संवेदनशील वेरिएबल्स को गुप्त के रूप में चिह्नित करें — गैर-गुप्त वेरिएबल्स API के माध्यम से उजागर होते हैं
4. सेवा कनेक्शन प्रतिबंधित करें — सेवा कनेक्शनों पर "सभी पाइपलाइनों को अनुमति दें" अक्षम करें
5. स्कोप्ड PAT का उपयोग करें — PAT स्कोप को Code (Read) तक सीमित रखें, 90-दिन की समाप्ति के साथ
6. बिल्ड लॉग स्कैन करें — लॉग आउटपुट से संवेदनशील डेटा हटाएँ
7. सुरक्षा अपडेट लागू करें — Azure DevOps Server 2026.0.1+

संदर्भ

• NVD प्रविष्टि
• GitHub सलाहकार GHSA-gmwx-3xm2-9fx8
• Microsoft सुरक्षा अपडेट मार्गदर्शिका
• CWE-200

लाइसेंस

MIT