CVE-2025-29827
CVSS 9.9 CRITICAL: improper authorization in Azure Automation allows an authorized attacker to elevate privileges over a network. EPSS 2% (74º percentile).
Vulnerabilità · 67 giorni fa
Il punto non è una password rubata né un token sottratto. In Azure Automation un'impostazione pubblica di default ha permesso a un account legittimo di oltrepassare il confine di trust e agire con l'identità gestita di un altro tenant, con effetti che toccano credenziali e controllo dei workload, non il singolo account di automazione.
Microsoft ha corretto CVE-2025-29827, una falla di privilege escalation in Azure Automation con CVSS 9.9. La vulnerabilità riguardava il servizio usato per DevOps, deployment, patching e rotazione dei secret tramite runbook legati a managed identities; da lì un attaccante poteva creare o modificare script, leggere configurazioni sensibili e arrivare a creare, cambiare o cancellare risorse cloud.
Non risultano exploit noti, ma il modello è chiaro: se l'identità di Automation viene esposta, non si eredita solo un controllo locale. Si apre una via di movimento laterale basata sull'identità, che in un ambiente multi-tenant rompe l'isolamento su cui si regge la fiducia del servizio.
CVSS 9.9 CRITICAL: improper authorization in Azure Automation allows an authorized attacker to elevate privileges over a network. EPSS 2% (74º percentile).
1 fonte che coprono questa storia
Default Azure Automation Setting Enables Cross-Tenant Attacks
A critical Azure Automation bug lets an attacker with a valid account hijack identities and access other tenants' data, credentials, and cloud workloads.
Riepilogo fornitore: Microsoft
Part of the PlainSec briefing for 2026-07-25