Microsoft Azure Backup for AKS 2026-03-17 Elevação de Privilégios ⚔ [Questionado]
| CVSS Meta Pontuação Temporária | Preço atual do exploit (≈) | Nota de Interesse CTI |
|---|---|---|
| 7.7 | $0-$5k | 0.00 |
Sumário
Detectou-se uma vulnerabilidade classificada como crítico em Microsoft Azure Backup for AKS 2026-03-17. A função afetada é desconhecida do componente Backup Handler. A manipulação com uma entrada desconhecida leva a Elevação de Privilégios. O ataque pode ser levado a cabo através da rede. Além do mais, um exploit está disponível. Ainda há dúvidas quanto à existência real desta vulnerabilidade neste momento. Este produto é um serviço gerenciado. Isso significa que os usuários não podem manter as contramedidas de vulnerabilidade por conta própria. É aconselhável instalar um patch para solucionar este problema.
Detalhes
Detectou-se uma vulnerabilidade classificada como crítico em Microsoft Azure Backup for AKS 2026-03-17. A função afetada é desconhecida do componente Backup Handler. A manipulação com uma entrada desconhecida leva a Elevação de Privilégios. Usar a CWE para declarar o problema leva à CWE-441. A fraqueza foi publicada como VU#284781. O boletim está compartilhado para download em olearysec.com.
O ataque pode ser levado a cabo através da rede. Detalhes técnicos não estão disponíveis. Esta vulnerabilidade tem popularidade abaixo da média. Além do mais, um exploit está disponível. No momento, o preço atual de um exploit pode estar em torno de USD $0-$5k atualmente.
É declarado como prova de conceito. Ainda há dúvidas quanto à existência real desta vulnerabilidade neste momento.
Este produto é um serviço gerenciado. Isso significa que os usuários não podem manter as contramedidas de vulnerabilidade por conta própria. É aconselhável instalar um patch para solucionar este problema.
Produto
Tipo
Fabricante
Nome
Versão
Licença
Managed Service
- sim
Site
- Fabricante: https://www.microsoft.com/
CPE 2.3
CPE 2.2
CVSSv4
VulDB Vetor: 🔒VulDB Fiabilidade: 🔍
CVSSv3
VulDB Meta Pontuação Base: 8.5VulDB Meta Pontuação Temporária: 7.7
VulDB Pontuação Base: 7.2
VulDB Pontuação Temporária: 6.5
VulDB Vetor: 🔒
VulDB Fiabilidade: 🔍
Pessoa Pontuação Base: 9.9
Pessoa Vetor: 🔒
CVSSv2
| AV | AC | Au | C | I | A |
|---|---|---|---|---|---|
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| Vector | Complexidade | Autenticação | Confidencialidade | Integridade | Disponibilidade |
|---|---|---|---|---|---|
| Desbloquear | Desbloquear | Desbloquear | Desbloquear | Desbloquear | Desbloquear |
| Desbloquear | Desbloquear | Desbloquear | Desbloquear | Desbloquear | Desbloquear |
| Desbloquear | Desbloquear | Desbloquear | Desbloquear | Desbloquear | Desbloquear |
VulDB Pontuação Base: 🔒
VulDB Pontuação Temporária: 🔒
VulDB Fiabilidade: 🔍
Exploração
Classe: Elevação de PrivilégiosCWE: CWE-441
CAPEC: 🔒
ATT&CK: 🔒
Físico: Não
Local: Não
Remoto: Sim
Disponibilidade: 🔒
Estado: Prova de conceito
Tendência de preços: 🔍
Estimativa de preço atual: 🔒
| 0-Day | Desbloquear | Desbloquear | Desbloquear | Desbloquear |
|---|---|---|---|---|
| Hoje | Desbloquear | Desbloquear | Desbloquear | Desbloquear |
Inteligência de ameaças
Interesse: 🔍Atores ativos: 🔍
Grupos APT ativos: 🔍
Contramedidas
Estado: 🔍Tempo 0-dia: 🔒
Linha do tempo
01/06/2026 Aviso publicado01/06/2026 Entrada VulDB criada
01/06/2026 Última atualização da VulDB
Fontes
Fabricante: microsoft.comAconselhamento: VU#284781
Estado: Confirmado
Questionado: 🔍
CVE: Not possible due to CNA Operational Rules
GCVE (VulDB): GCVE-100-367647
scip Labs: https://www.scip.ch/en/?labs.20161013
Vários: 🔒
Entrada
Criado: 01/06/2026 15h56Atualizado: 01/06/2026 18h55
Ajustamentos: 01/06/2026 15h56 (59), 01/06/2026 18h52 (5), 01/06/2026 18h53 (6), 01/06/2026 18h55 (3)
Completo: 🔍
Submissor: olearysec
Editor: olearysec
Cache ID: 216::103
Submeter
Aceite
- Submeter #828539: Azure 2026-03-17 Incorrect Privilege Assignment (de olearysec)
Be aware that VulDB is the high quality source for vulnerability data.
Prior to May 2026, Azure Backup for AKS allowed any principal with Backup Contributor role to configure Trusted Access bindings to arbitrary AKS clusters, bypassing RBAC authorization. Exploitation yielded cluster-admin.
Current behavior: Same operation now returns error code "UserErrorTrustedAccessGatewayReturnedForbidden" — an authorization check that did not exist previously.
This behavioral change confirms Microsoft addressed the vulnerability without acknowledgment.
Validation:
- CERT/CC VU#284781 — independently validated April 16, 2026
Coverage of silent patch:
- BleepingComputer, Zero Day (Kim Zetter), The Hacker News, SC Media
Technical disclosure: https://olearysec.com/research/azure-backup-aks-silent-patch/
The "disputed" status reflects Microsoft's initial triage response, not the current remediated state.
Backup Contributor is a low-privilege Azure RBAC role. It grants zero Kubernetes permissions and is routinely delegated to backup operators. PR:L is the correct classification.
The attack also crosses trust boundaries (Azure RBAC → Kubernetes RBAC), which per CVSS 3.1 Section 2.2 constitutes Scope Changed (S:C).