CVE-2026-42826 — Azure DevOps 情報漏えい PoC

概要

フィールド	値
CVE	CVE-2026-42826
CVSS	10.0 Critical (Microsoft) / 7.5 High (NVD)
CWE	CWE-200 (不正なアクターへの機密情報の露出)
GHSA	GHSA-gmwx-3xm2-9fx8
影響を受けるバージョン	Azure DevOps Services、Azure DevOps Server 2022/2025
修正済みバージョン	Azure DevOps Server 2026.0.1+ (Services はサーバー側で修正済み)
発見者	Noa Royzman (Microsoft)

脆弱性の説明

Azure DevOps は、特定の条件下で、パイプライン構成、変数グループの内容、ビルド成果物を認証なしの HTTP リクエストに提供する可能性があります。リモートの攻撃者が Azure DevOps REST API に巧妙に細工したリクエストを送信すると、以下を含む JSON レスポンスを受け取ります:

パイプライン YAML 構成
変数グループのメタデータ (シークレット変数の名前を含む)
サービス接続識別子
ビルドログの断片
リポジトリの内容

対象プロジェクトが公開可視性 (public visibility) 用に構成されている場合、または内部 API エンドポイントがデータを返す前に認証チェックを適用しない場合、資格情報は不要です。

CVSS ベクター

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H — 10.0 Critical

攻撃ベクター

1. 認証なしの API アクセス (公開プロジェクト)

パブリックプロジェクトが有効な組織では、リポジトリ、パイプライン、成果物、作業項目が認証なしのインターネットに公開されます。

2. 認証バイパス

特定の内部 API エンドポイントが、機密データを返す前に認証チェックを適用しません。

3. パイプライン YAML 偵察

公開プロジェクトのパイプライン YAML ファイルは、サービス接続と変数グループを名前で参照するため、Azure サブスクリプション構造、デプロイターゲット、レジストリ URL、環境名が明らかになります。

4. サービス接続の抽出

サービス接続のメタデータ (Azure サブスクリプション ID、テナント ID、Kubernetes クラスター ID) が API 経由で公開されます。

5. 変数グループの収集

シークレット以外の変数値は、UI で表示可能であり、API によって返され、ビルドログに出力されます。

6. ビルドログ断片の抽出

ビルドログには、機密性の高い構成データ、環境変数、インフラストラクチャの詳細が含まれる場合があります。

ファイル

ファイル	目的
`exploit.py`	メインのエクスプロイト — 6 つの攻撃ベクター、シークレットスキャン、レポート生成
`detect.py`	Azure DevOps インスタンスの検出およびセキュリティ強化チェッカー
`test_exploit.py`	ユニットテスト (全エクスプロイト機能を検証する 30 以上のテスト)

ドキュメント

ドキュメント	内容
USAGE.md	ステップバイステップの手順を含む詳細な使用ガイド
DIAGRAM.md	構造図と攻撃フローの可視化

使用方法

クイックスタート (認証なしスキャン)

# 組織に公開されたプロジェクトがあるか確認
python3 exploit.py -u https://dev.azure.com/targetorg

完全なエクスプロイト (PAT 使用)

# Personal Access Token を使用した完全なエクスプロイト
python3 exploit.py -u https://dev.azure.com/targetorg --pat YOUR_PAT_TOKEN

# 特定のプロジェクトをターゲットにする
python3 exploit.py -u https://dev.azure.com/targetorg --pat YOUR_PAT --project MyProject

# レポートをファイルに保存
python3 exploit.py -u https://dev.azure.com/targetorg --pat YOUR_PAT -o report.json

オンプレミスの Azure DevOps Server

python3 exploit.py -u https://tfs.company.local/tfs/DefaultCollection --pat YOUR_PAT

検出およびセキュリティ強化チェック

python3 detect.py -u https://dev.azure.com/targetorg --pat YOUR_PAT

テストの実行

python3 test_exploit.py

影響

ソースコードの持ち出し: すべてのリポジトリの内容にアクセス可能
資格情報の露出: サービス接続名、Azure サブスクリプション ID、テナント ID
パイプライン偵察: YAML 構成によりインフラストラクチャのトポロジが明らかになる
変数の収集: シークレット以外の変数値が平文で公開
ビルドログの分析: ログ断片に機密データが含まれる
横移動の計画: 標的型攻撃のためのインフラストラクチャマッピング

攻撃フロー図

Attacker              Azure DevOps API
  │                         │
  │  GET /_apis/projects    │
  │  (no auth)              │
  │ ──────────────────────► │
  │                         │
  │  200 OK                 │
  │  { projects: [...] }    │
  │ ◄────────────────────── │
  │                         │
  │  GET /proj/_apis/       │
  │  pipelines              │
  │ ──────────────────────► │
  │                         │
  │  200 OK                 │
  │  { YAML configs }       │
  │ ◄────────────────────── │
  │                         │
  │  GET /proj/_apis/       │
  │  variablegroups         │
  │ ──────────────────────► │
  │                         │
  │  200 OK                 │
  │  { variables: {...} }   │
  │ ◄────────────────────── │
  │                         │
  │  Extract secrets,       │
  │  map infrastructure     │
  │                         │

完全なアーキテクチャ図については DIAGRAM.md を参照してください。

緩和策

すべてのプロジェクトをプライベートに設定する — 公開プロジェクトの可視性を無効化
組織レベルで公開プロジェクトをブロックする — 将来の公開プロジェクトを防ぐために組織ポリシーを設定
すべての機密変数をシークレットとしてマークする — シークレット以外の変数は API 経由で公開される
サービス接続を制限する — サービス接続で「すべてのパイプラインを許可」を無効化
スコープ付き PAT を使用する — PAT のスコープを Code (Read) に制限し、有効期限を 90 日に設定
ビルドログをスキャンする — ログ出力から機密データを削除
セキュリティ更新プログラムを適用する — Azure DevOps Server 2026.0.1+

参考情報

ライセンス

MIT

人気

POC-CVE-2026-42826-2026-42826-Microsoft-Azure-DevOps-Information-Disclosure-Vulnerability