CVE-2026-32174: Rettighedsfejl i Azure Bot Service

CVE-2026-32174 er en fejl i autentificering (CWE-287) i Azure Bot Service, Microsofts cloudplatform til at bygge og drive chatbots, som ofte kobles til Teams, hjemmesider eller kundeservicesystemer. Fejlen betyder, at en bruger eller integration, der allerede har lave rettigheder i tjenesten, kan udnytte en mangel i identitetskontrollen til at opnå højere rettigheder over netværket. Angrebet kræver ingen handling fra en bruger og kan udføres, uden angriberen er fysisk til stede. Fordi Azure Bot Service er en delt cloudtjeneste, ligger rettelsen hos Microsoft og rulles ud centralt til alle kunder, uden at I selv skal installere noget.

Fejlen rammer virksomheder, der bruger Azure Bot Service til at drive chatbots, for eksempel kundeservice-bots på hjemmesiden, interne bots i Microsoft Teams eller automatiserede integrationer mod andre systemer. Det gælder både danske virksomheder og kommuner, der selv har bygget bots på platformen, og de, der bruger en leverandørs bot bygget på Azure. Der er ikke tale om en fejl i jeres egen software, men i den underliggende Microsoft-tjeneste.

Fordi fejlen giver angriberen mulighed for at ændre data og rettigheder (integritet), men ikke at læse fortrolige data eller lukke tjenesten ned, er den praktiske risiko, at en bruger med begrænset adgang, for eksempel en servicekonto brugt til en integration, kan opnå administrative rettigheder over botten. Det kan bruges til at ændre bottens opsætning, flows eller adgang til tilkoblede systemer, hvilket i praksis kan give angriberen kontrol over, hvad botten gør, og hvilke data den videresender.

CVSS-scoren er 7,7 ud af 10, hvilket er alvorligt. Angrebet kræver, at man allerede har en lav grad af adgang til tjenesten (privilege required: low), men kræver ingen brugerinteraktion og kan udføres over netværket med lav kompleksitet. Fejlen påvirker desuden ressourcer uden for den sårbare komponents egen sikkerhedsgrænse (scope changed), hvilket forklarer den høje score, selvom kun integritet er påvirket, ikke fortrolighed eller drift. Der er ingen offentlige oplysninger om, at fejlen er blevet udnyttet aktivt.

Da fejlen ligger i en Microsoft-styret cloudtjeneste, er selve rettelsen allerede rullet ud af Microsoft. Jeres opgave er at sikre, at jeres opsætning omkring botten ikke gør skaden større, hvis noget alligevel er sket før rettelsen.

1. Bekræft, at jeres Azure Bot Service-ressourcer bruger den nuværende, understøttede version af tjenesten. Microsoft opdaterer platformen centralt, så der kræves normalt ingen manuel handling fra jer.
2. Gennemgå, hvilke konti og integrationer der har adgang til jeres bots, og fjern rettigheder, der ikke er nødvendige, efter mindste-privilegie-princippet.
3. Tjek logs i Azure for usædvanlige rettighedsændringer eller adgang til bot-ressourcer omkring offentliggørelsesdatoen.
4. Roter nøgler og hemmeligheder, der bruges af bot-integrationer, hvis I ser tegn på uautoriseret adgang.
5. Kontakt Microsoft support eller en sikkerhedsrådgiver, hvis logs viser mistænkelig aktivitet, eller hvis I er i tvivl om jeres konfiguration.