🔍 CVE-2026-42823

9.9
CVSS Score
CRITICAL
2026-05-12
2026-06-17 10:48
✅ 완료

🇰🇷 한글 설명

Azure Logic Apps의 접근 제어 메커니즘 결함으로 인해 인증된 공격자가 네트워크를 통해 권한을 상승시킬 수 있는 취약점입니다. RBAC 정책이 제대로 검증되지 않아 권한이 낮은 사용자가 관리자 수준의 작업을 수행할 수 있습니다.

💡 쉬운 설명

Azure의 자동화 도구에서 사용 권한을 확인하는 과정에 문제가 있어, 일반 사용자가 관리자 권한으로 민감한 작업을 할 수 있게 됩니다. 이를 통해 공격자가 중요한 시스템을 제어하거나 데이터를 탈취할 수 있습니다.

🇺🇸 원문 (English)

Improper access control in Azure Logic Apps allows an authorized attacker to elevate privileges over a network.

📍 영향받는 시스템

Azure Logic Apps (모든 배포 지역 및 버전)

⚔️ 공격 벡터

인증된 사용자가 RBAC 검증 우회를 통해 Logic App 워크플로우 실행 또는 커넥터 설정 변경 시도

🛡️ 대응 방법

즉시 Azure 보안 패치 적용 및 Logic Apps에 할당된 역할 검토, 최소 권한 원칙으로 재구성

🔧 검증 코드

과도한 권한(Contributor, Owner)이 할당된 사용자/서비스 주체가 표시되면 RBAC 정책 즉시 조정 필요

Shell / Script 
az role assignment list --subscription $(az account show --query id -o tsv) --query "[?roleDefinitionName=='Contributor' || roleDefinitionName=='Owner'].principalName" -o table

📊 CVSS Vector String

CVSS Vector 
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

💻 영향받는 소프트웨어

Azure