CVE-2022-39327highCWE-94

CVE-2022-39327: fallo de gravedad alta en azure-cli

Improper Control of Generation of Code ('Code Injection') in Azure CLI

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear azure-cli+ Monitorear azure-cli

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

21Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 8.1epss 4.2%
En resumen

Azure CLI en Windows permite que atacantes inyecten y ejecuten código arbitrario a través de parámetros de comando que contienen caracteres especiales como & o |. Esto ocurre cuando fuentes externas proporcionan valores de parámetros al Azure CLI, comprometiendo potencialmente todo el sistema.

Detalle técnico

Vulnerabilidad de inyección de código en Azure CLI versiones anteriores a 2.40.0 en sistemas Windows; el vector de ataque requiere entrada de parámetro sin sanitizar que contenga símbolos & o | pasada a comandos CLI, típicamente desde fuentes externas. La explotación ocurre durante el análisis de comandos en contexto PowerShell, permitiendo ejecución de código arbitrario con privilegios del proceso CLI.

Resumen generado y traducido por IA a partir de la descripción oficial.
Azure CLI is the command-line interface for Microsoft Azure. In versions previous to 2.40.0, Azure CLI contains a vulnerability for potential code injection. Critical scenarios are where a hosting machine runs an Azure CLI command where parameter values have been provided by an external source. The vulnerability is only applicable when the Azure CLI command is run on a Windows machine and with any version of PowerShell and when the parameter value contains the `&` or `|` symbols. If any of these prerequisites are not met, this vulnerability is not applicable. Users should upgrade to version 2.40.0 or greater to receive a a mitigation for the vulnerability.
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
Productos afectados
Azure · azure-cli