PT-2021-4858 · Microsoft · Azure Active Directory+3

Karl Fosaaen · Publicado 2021-11-17 · Atualizado 2026-02-24 · CVE-2021-42306

Positive Technologies (AI Summary) · Pt

CVSS v2.0

10

Alta

Vetor base

AV:N/AC:L/Au:N/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas

Azure Active Directory (AAD) (versões afetadas não especificadas)

Azure Automation (versões afetadas não especificadas)

Azure Site Recovery (versões afetadas não especificadas)

Azure Migrate (versões afetadas não especificadas)

Descrição

O problema está relacionado a falhas no procedimento de autenticação, o que pode permitir que um invasor remoto obtenha acesso não autorizado a informações protegidas. Especificamente, ocorre uma vulnerabilidade de divulgação de informações quando um usuário ou aplicativo carrega dados de chave privada desprotegidos como parte de um certificado de autenticação keyCredential em um aplicativo ou entidade de serviço do Azure AD. Essa vulnerabilidade permite que um usuário ou serviço no locatário com acesso de leitura ao aplicativo leia os dados da chave privada que foram adicionados ao aplicativo.

Recomendações

Para o Azure Active Directory (AAD), a fim de evitar a divulgação de quaisquer valores de chave privada adicionados ao aplicativo, certifique-se de que os dados da chave privada estejam protegidos e não sejam carregados como parte de um certificado de autenticação keyCredential em um aplicativo ou entidade de serviço do Azure AD.

Como solução alternativa temporária, considere restringir o acesso à propriedade keyCredential nas APIs de aplicativos e entidades de serviço do Azure AD até que uma correção esteja disponível.

Para o Azure Automation, o Azure Site Recovery e o Azure Migrate, no momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

LPE

Improper Authentication

Insufficiently Protected Credentials

Enumeração de Fraquezas

CWE-287

CWE-522

Identificadores relacionados

BDU:2021-05586

CVE-2021-42306

Produtos afetados

Azure Active Directory

Azure Automation

Azure Migrate

Azure Site Recovery

Referências · 11

• https://t.me/cybersecuritytechnologies/4782 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-42306 · Aviso do Fabricante
• https://vulmon.com/vulnerabilitydetails?qid=CVE-2021-42306 · Nota
• https://t.me/cvenotify/81241 · Publicação no Telegram
• https://t.me/pentestingnews/14259 · Publicação no Telegram
• https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2021-42306 · Aviso do Fabricante
• https://t.me/sysadm_in_channel/3576 · Publicação no Telegram
• https://t.me/cveNotify/153032 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-42306 · Nota de Segurança
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-42306 · Aviso do Fabricante
• https://bdu.fstec.ru/vul/2021-05586 · Nota de Segurança