Improper Control of Generation of Code ('Code Injection') in Azure CLI
21Vexday Risk Score
Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.
ssvc Trackcvss 8.1epss 3.5%
probabilidad de explotación
3.5%top 11% de las CVE
explotación observada
noninguna fuente lo reporta
En resumen
Azure CLI en Windows permite que atacantes inyecten y ejecuten código arbitrario a través de parámetros de comando que contienen caracteres especiales como & o |. Esto ocurre cuando fuentes externas proporcionan valores de parámetros al Azure CLI, comprometiendo potencialmente todo el sistema.
Detalle técnico
Vulnerabilidad de inyección de código en Azure CLI versiones anteriores a 2.40.0 en sistemas Windows; el vector de ataque requiere entrada de parámetro sin sanitizar que contenga símbolos & o | pasada a comandos CLI, típicamente desde fuentes externas. La explotación ocurre durante el análisis de comandos en contexto PowerShell, permitiendo ejecución de código arbitrario con privilegios del proceso CLI.
Resumen generado y traducido por IA a partir de la descripción oficial.
Azure CLI is the command-line interface for Microsoft Azure. In versions previous to 2.40.0, Azure CLI contains a vulnerability for potential code injection. Critical scenarios are where a hosting machine runs an Azure CLI command where parameter values have been provided by an external source. The vulnerability is only applicable when the Azure CLI command is run on a Windows machine and with any version of PowerShell and when the parameter value contains the `&` or `|` symbols. If any of these prerequisites are not met, this vulnerability is not applicable. Users should upgrade to version 2.40.0 or greater to receive a a mitigation for the vulnerability.
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H