CVE-2026-42826 — PoC раскрытия информации в Azure DevOps

Обзор

Поле	Значение
CVE	CVE-2026-42826
CVSS	10.0 Критический (Microsoft) / 7.5 Высокий (NVD)
CWE	CWE-200 (Раскрытие конфиденциальной информации неавторизованному субъекту)
GHSA	GHSA-gmwx-3xm2-9fx8
Затронутые продукты	Azure DevOps Services, Azure DevOps Server 2022/2025
Исправлено в	Azure DevOps Server 2026.0.1+ (облачные сервисы исправлены на стороне сервера)
Обнаружил	Noa Royzman (Microsoft)

Описание уязвимости

Azure DevOps может возвращать конфигурацию конвейеров, содержимое групп переменных и артефакты сборки в ответ на неаутентифицированные HTTP-запросы при определённых условиях. Удалённый злоумышленник отправляет специально сформированные запросы к REST API Azure DevOps и получает JSON-ответы, содержащие:

YAML-конфигурации конвейеров
Метаданные групп переменных (включая имена секретных переменных)
Идентификаторы сервисных подключений
Фрагменты журналов сборки
Содержимое репозиториев

Учётные данные не требуются, когда целевой проект настроен для публичного доступа или когда внутренняя конечная точка API не выполняет проверки аутентификации перед возвратом данных.

Вектор CVSS

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H — 10.0 Critical

Векторы атак

1. Неаутентифицированный доступ к API (публичные проекты)

Организации с включёнными публичными проектами открывают доступ к репозиториям, конвейерам, артефактам и рабочим элементам для неаутентифицированного интернета.

2. Обход аутентификации

Отдельные внутренние конечные точки API не выполняют проверки аутентификации перед возвратом конфиденциальных данных.

3. Разведка по YAML-файлам конвейеров

YAML-файлы конвейеров публичных проектов ссылаются на сервисные подключения и группы переменных по именам, раскрывая структуру подписок Azure, целевые объекты развёртывания, URL-адреса реестров и имена окружений.

4. Извлечение данных сервисных подключений

Метаданные сервисных подключений (идентификаторы подписок Azure, идентификаторы тенантов, идентификаторы кластеров Kubernetes) раскрываются через API.

5. Сбор данных групп переменных

Значения несекретных переменных видны в пользовательском интерфейсе, возвращаются API и выводятся в журналы сборки.

6. Извлечение фрагментов журналов сборки

Журналы сборки могут содержать конфиденциальные данные конфигурации, переменные окружения и сведения об инфраструктуре.

Файлы

Файл	Назначение
`exploit.py`	Основной эксплойт — 6 векторов атак, сканирование секретов, формирование отчёта
`detect.py`	Обнаружение уязвимости и проверка усиления защиты для экземпляров Azure DevOps
`test_exploit.py`	Модульные тесты (30+ тестов, проверяющих весь функционал эксплойта)

Документация

Документ	Содержание
USAGE.md	Подробное руководство по использованию с пошаговыми инструкциями
DIAGRAM.md	Структурные схемы и визуализация потока атаки

Использование

Быстрый старт (неаутентифицированное сканирование)

# Check if organization has publicly exposed projects
python3 exploit.py -u https://dev.azure.com/targetorg

Полная эксплуатация (с PAT)

# Full exploitation with Personal Access Token
python3 exploit.py -u https://dev.azure.com/targetorg --pat YOUR_PAT_TOKEN

# Target specific project
python3 exploit.py -u https://dev.azure.com/targetorg --pat YOUR_PAT --project MyProject

# Save report to file
python3 exploit.py -u https://dev.azure.com/targetorg --pat YOUR_PAT -o report.json

Локальный сервер Azure DevOps

python3 exploit.py -u https://tfs.company.local/tfs/DefaultCollection --pat YOUR_PAT

Обнаружение уязвимости и проверка усиления защиты

python3 detect.py -u https://dev.azure.com/targetorg --pat YOUR_PAT

Запуск тестов

python3 test_exploit.py

Воздействие

Эксфильтрация исходного кода: доступно всё содержимое репозиториев
Раскрытие учётных данных: имена сервисных подключений, идентификаторы подписок Azure, идентификаторы тенантов
Разведка конвейеров: YAML-конфигурации раскрывают топологию инфраструктуры
Сбор переменных: значения несекретных переменных в открытом виде
Анализ журналов сборки: конфиденциальные данные во фрагментах журналов
Планирование горизонтального перемещения: картирование инфраструктуры для целевых атак

Схема потока атаки

Attacker              Azure DevOps API
  │                         │
  │  GET /_apis/projects    │
  │  (no auth)              │
  │ ──────────────────────► │
  │                         │
  │  200 OK                 │
  │  { projects: [...] }    │
  │ ◄────────────────────── │
  │                         │
  │  GET /proj/_apis/       │
  │  pipelines              │
  │ ──────────────────────► │
  │                         │
  │  200 OK                 │
  │  { YAML configs }       │
  │ ◄────────────────────── │
  │                         │
  │  GET /proj/_apis/       │
  │  variablegroups         │
  │ ──────────────────────► │
  │                         │
  │  200 OK                 │
  │  { variables: {...} }   │
  │ ◄────────────────────── │
  │                         │
  │  Extract secrets,       │
  │  map infrastructure     │
  │                         │

Полные архитектурные схемы см. в DIAGRAM.md.

Меры по устранению

Переведите все проекты в частный режим — Отключите публичную видимость проектов
Заблокируйте публичные проекты на уровне организации — Установите политику организации, запрещающую создание публичных проектов в будущем
Помечайте все конфиденциальные переменные как секретные — Несекретные переменные раскрываются через API
Ограничьте сервисные подключения — Отключите параметр «Разрешить все конвейеры» (Allow all pipelines) в сервисных подключениях
Используйте PAT с ограниченными правами — Ограничьте область действия PAT уровнем Code (Read) со сроком действия 90 дней
Сканируйте журналы сборки — Удалите конфиденциальные данные из вывода журналов
Установите обновление безопасности — Azure DevOps Server 2026.0.1+

Ссылки

Лицензия

MIT

Популярное

POC-CVE-2026-42826-2026-42826-Microsoft-Azure-DevOps-Information-Disclosure-Vulnerability