CVE-2026-33117
严重已发布
Azure SDK for Java 安全功能绕过漏洞
- 已发布
- 2026年5月12日
- 已更新
- 2026年8月10日
- 分配 CNA
- microsoft
- 观察到的证据
- 2026年8月17日
初级CVSS
9.1/ 10严重
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N0.5%
低 · 未来 30 天
- 百分位
- 40.4%
- 型号日期
- 2026年9月21日
EPSS 是统计估计，而不是确定性或影响衡量标准。将其与 CVSS、KEV 状态、暴露程度和您的环境相结合。
总结
Azure SDK for Java 中的 Java Key Vault Keys 库在本地加密验证路径中存在一个问题，即身份验证标签比较的实现不正确。在使用了存在漏洞的本地加密路径的受影响应用程序中，特制的加密输入可能会绕过完整性验证检查。委托给 Key Vault 服务的操作不受影响。该问题已在 4.10.6 版本中得到解决。
来源
1Proof-of-concept exploit for CVE-2026-50338: cross-issuer authentication bypass in Spring Cloud Azure B2C resource servers. Demonstrates token forgery via AAD app registration to access protected B2C endpoints.
负责任的使用
仅在您拥有或有权测试的系统上使用漏洞信息。 Kitploit 链接到公共研究元数据，并且不存储漏洞代码或恶意负载。