Microsoft · Azure Service Fabric Explorer · CVE-2022-35829
**Nome do software vulnerável e versões afetadas**
Azure Service Fabric Explorer versões 8.1.316 e anteriores
**Descrição**
A vulnerabilidade permite que um invasor obtenha, potencialmente, direitos de administrador em um cluster. Ela afeta o Azure Service Fabric Explorer, uma ferramenta usada para gerenciar clusters do Azure Service Fabric, que são utilizados para criar e implantar aplicativos de microsserviços baseados em nuvem. O problema está relacionado a uma vulnerabilidade de escalonamento de privilégios, na qual um invasor com permissões de “Criar Aplicação Compose” via cliente SFX pode criar uma aplicação maliciosa, explorar uma vulnerabilidade de script entre sites (XSS) no campo “Nome da aplicação” e entregar uma carga maliciosa. Usando essa carga, o invasor pode, em última instância, reiniciar um nó do cluster e apagar todas as configurações personalizadas, como senhas e configurações de segurança.
**Recomendações**
Para as versões 8.1.316 e anteriores do Azure Service Fabric Explorer, atualize para uma versão que inclua a correção para este problema, conforme fornecido pela Microsoft em suas atualizações recentes. Como solução alternativa temporária, considere restringir o acesso ao cliente SFX para usuários com permissões de “Criar aplicativo Compose” para minimizar o risco de exploração. Evite usar o campo “Nome do aplicativo” no cliente SFX até que o problema seja resolvido.