CVE-2026-24302: Microsoft Azure Arc: controle de acesso inadequado (CWE-284)
A CVE-2026-24302 é uma fragilidade de controle de acesso inadequado no Microsoft Azure Arc que, segundo o registro, permite a um atacante não autorizado elevar privilégios pela rede. O NVD classifica como crítica, com pontuação base CVSS 3.1 de 9,8, enquanto a pontuação do CNA no registro é 8,6. As fontes consultadas não indicam exploração confirmada, e o registro não informa versões afetadas nem corrigidas.
Visão geral
A CVE-2026-24302 é uma fragilidade de controle de acesso inadequado (CWE-284) no Microsoft Azure Arc. Segundo o registro, um atacante não autorizado com acesso pela rede poderia elevar privilégios.
Impacto
- Confirmado: a descrição afirma que um atacante não autorizado pode elevar privilégios pela rede.
- O NVD atribui pontuação base CVSS 3.1 de 9,8 (crítica), com vetor de ataque pela rede, baixa complexidade, nenhuma exigência de privilégios ou interação do usuário e alto impacto na confidencialidade, integridade e disponibilidade.
- A pontuação do CNA no registro é 8,6 (CVSS 3.1), ou seja, os dois provedores avaliam a severidade de forma diferente.
Produtos e versões afetados
- Produto: Microsoft Azure Arc.
- Versões: não especificadas pela fonte. Consulte o aviso do fabricante para a lista de builds afetados.
Status de exploração
Segundo o registro, a CVE não consta no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas. Não há dados de EPSS disponíveis.
Correção e mitigação
- Consulte a entrada do Microsoft Security Response Center e aplique a atualização do fabricante para o Azure Arc.
- O registro não informa versão corrigida. Trate essa ausência como desconhecida, e não como prova de que não há correção.
- Restrinja a exposição de rede dos componentes de gerenciamento relacionados ao Azure Arc a segmentos confiáveis até a aplicação do patch.
- Revise os privilégios concedidos às identidades relacionadas ao Azure Arc e aplique o princípio do menor privilégio.
Orientações de detecção
- Monitore os logs de atividade do Azure em busca de atribuições de função inesperadas, alterações de permissão ou acessos de identidades desconhecidas.
- Analise a telemetria de rede em busca de acessos incomuns a componentes do Azure Arc vindos de origens não confiáveis.
Limitações das informações disponíveis
O registro não traz intervalos de versões afetadas, versões corrigidas, dados de EPSS, dados de SSVC nem detalhes técnicos além da descrição curta. Esta análise se baseia na descrição em inglês, nas pontuações do NVD e do CNA e na referência do MSRC.
Perguntas frequentes
O que é a CVE-2026-24302?
É uma fragilidade de controle de acesso inadequado (CWE-284) no Microsoft Azure Arc que, segundo o registro, permite a um atacante não autorizado elevar privilégios pela rede.
Qual é a severidade?
O NVD atribui 9,8 pelo CVSS 3.1 (crítica). A pontuação do CNA no registro é 8,6, portanto os provedores divergem.
Há exploração em andamento?
O registro não a lista no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.
Quais versões são afetadas?
A fonte não especifica as versões afetadas. Consulte a entrada do guia de atualização da Microsoft para detalhes.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.