Azure Automation apre una corsia tra tenant diversi
Il punto non è una password rubata né un token sottratto. In Azure Automation un'impostazione pubblica di default ha permesso a un account legittimo di oltrepassare il confine di trust e agire con l'identità gestita di un altro tenant, con effetti che toccano credenziali e controllo dei workload, non il singolo account di automazione.
Microsoft ha corretto CVE-2025-29827, una falla di privilege escalation in Azure Automation con CVSS 9.9. La vulnerabilità riguardava il servizio usato per DevOps, deployment, patching e rotazione dei secret tramite runbook legati a managed identities; da lì un attaccante poteva creare o modificare script, leggere configurazioni sensibili e arrivare a creare, cambiare o cancellare risorse cloud.
Non risultano exploit noti, ma il modello è chiaro: se l'identità di Automation viene esposta, non si eredita solo un controllo locale. Si apre una via di movimento laterale basata sull'identità, che in un ambiente multi-tenant rompe l'isolamento su cui si regge la fiducia del servizio.