PT-2026-29903 · Microsoft · Azure Sre Agent

Yanir Tsarimi + 1 · Publicado 2026-04-02 · Atualizado 2026-06-07 · CVE-2026-32173

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.6

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N

Name of the Vulnerable Software and Affected Versions Azure SRE Agent (versões afetadas não especificadas)

Description A autenticação inadequada no Azure SRE Agent permite que um invasor não autorizado divulgue informações através de uma rede. Ocorreu uma falha de design multi-tenant onde as verificações de autenticação validavam tokens sem garantir que o chamador estivesse autorizado para o tenant de destino. Essa lacuna permitiu que indivíduos de diferentes tenants do Entra ID monitorassem silenciosamente fluxos de comandos em tempo real, fluxos de chat de IA, raciocínio interno de LLM, chamadas de ferramentas e credenciais confidenciais. Este problema afetou especificamente o Azure SRE Agent Gateway - SignalR Hub.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

Improper Authentication

Incorrect Authorization

Enumeração de Fraquezas

CWE-287

CWE-863

Identificadores relacionados

CVE-2026-32173

Produtos afetados

Azure Sre Agent

Referências · 25

• https://twitter.com/SamJakAI/status/2046514300706042159 · Publicação no Twitter
• https://twitter.com/CVEarity/status/2039951877815873788 · Publicação no Twitter
• https://twitter.com/Yanir_/status/2046317315386400785 · Publicação no Twitter
• https://twitter.com/cyberbivash/status/2039899561875914789 · Publicação no Twitter
• https://twitter.com/lyrie_ai/status/2063599682522128621 · Publicação no Twitter
• https://twitter.com/CveFindCom/status/2039866193268416786 · Publicação no Twitter
• https://twitter.com/SamJakAI/status/2046635092223668630 · Publicação no Twitter
• https://twitter.com/hexonbot/status/2040119705466450095 · Publicação no Twitter
• https://twitter.com/SamJakAI/status/2047726957203276085 · Publicação no Twitter
• https://twitter.com/SamJakAI/status/2046604938340364709 · Publicação no Twitter
• https://reddit.com/r/pwnhub/comments/1ss3pg6/microsoft_azure_sre_agent_flaw_allowed · Publicação no Reddit
• https://nvd.nist.gov/vuln/detail/CVE-2026-32173 · Nota de Segurança
• https://twitter.com/TheHackerWire/status/2039890884972740769 · Publicação no Twitter
• https://twitter.com/SamJakAI/status/2046333124682928460 · Publicação no Twitter
• https://twitter.com/SamJakAI/status/2046604894820274287 · Publicação no Twitter