یک محقق امنیتی ادعا می‌کند که مایکروسافت پس از رد گزارش او، به‌طور مخفیانه یک آسیب‌پذیری در سرویس Azure Backup for AKS را برطرف کرده و از صدور شناسه CVE جلوگیری کرده است. جاستین اولیری (Justin O’Leary) این نقص را در مارس ۲۰۲۵ کشف کرد؛ آسیب‌پذیری از نوع «نماینده گیج‌شده» (Confused Deputy – CWE-441) بود و به کاربری با نقش کم‌امتیاز «Backup Contributor» اجازه می‌داد بدون داشتن هیچ‌گونه دسترسی اولیه به Kubernetes، به سطح دسترسی cluster-admin ارتقا یابد. مرکز پاسخ امنیتی مایکروسافت (MSRC) این گزارش را در آوریل رد کرد و ادعا کرد که حمله مستلزم دسترسی مدیریتی از پیش موجود است؛ اتهامی که اولیری آن را «کاملاً نادرست» می‌داند. مرکز هماهنگی CERT نیز این آسیب‌پذیری را به‌طور مستقل تأیید و شناسه VU#284781 را به آن اختصاص داد، اما مایکروسافت با تماس با MITRE از صدور CVE جلوگیری کرد.
علی‌رغم اعلام مایکروسافت مبنی بر اینکه «هیچ تغییری در محصول ایجاد نشده»، اولیری مستند کرده که مسیر حمله اصلی دیگر کار نمی‌کند؛ Azure Backup for AKS اکنون نیازمند پیکربندی دستی Trusted Access پیش از فعال‌سازی پشتیبان‌گیری است و بررسی‌های مجوز جدیدی اضافه شده که در زمان آزمایش اولیه وجود نداشتند. این وضعیت نگرانی جدی برای مدافعان امنیتی ایجاد کرده است؛ بدون صدور CVE یا اطلاعیه عمومی، سازمان‌هایی که بین تاریخ نامشخصی تا می ۲۰۲۶ نقش Backup Contributor را اعطا کرده‌اند، در معرض خطر ارتقای امتیاز قرار داشته‌اند و تیم‌های امنیتی هیچ ابزاری برای ردیابی این آسیب‌پذیری ندارند.
کلمات کلیدی : آسیب‌پذیری Azure Backup AKS, ارتقای امتیاز Kubernetes, مایکروسافت CVE پنهان, Confused Deputy CWE-441, MSRC گزارش امنیتی رد شده, Backup Contributor cluster-admin
نظر شما چیست؟
خوشحال می‌شویم نظر شما را بدانیم. نظری بنویسید.