CVE-2025-66390
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
W Microsoft Azure API Management, gdy włączona jest samodzielna rejestracja (Basic Authentication), atakujący może wykorzystać przepływ rejestracji dla innego dzierżawcy, zmieniając nagłówek Host, nawet jeśli rejestracja jest wyłączona w interfejsie użytkownika. Dostawca uznał to za problem konfiguracyjny, a nie podatność.
Ocena ryzyka
Ryzyko nieautoryzowanego utworzenia konta w innym dzierżawcy, co może prowadzić do naruszenia izolacji dzierżawców.
Rekomendacja
Sprawdź konfigurację punktów końcowych API i rozważ wyłączenie samodzielnej rejestracji lub zastosowanie dodatkowych zabezpieczeń na poziomie sieci.
Oryginalny opis (angielski, źródło NVD)
In Microsoft Azure API Management through 2025-10-17, when self-service signup (username/password Basic Authentication) is enabled in Tenant A, an attacker can reuse the registration flow by changing the hostname or tenant identifier to Tenant B, even when Tenant B has signup disabled at the UI level. In other words, disabling signup in the UI does not disable the underlying API endpoint (which still accepts cross-tenant requests based on the Host header). NOTE: The supplier states that they evaluated the report and determined it did not cross a security boundary (i.e., the observed behavior was a configuration/state issue rather than an exploitable product vulnerability affecting tenant isolation). NOTE: The supplier evaluated this report and determined that it did not cross a security boundary (i.e., the observed behavior was a configuration/state issue rather than an exploitable product vulnerability affecting tenant isolation).