CVE-2026-68823: Kritisk fejl i Azure Confidential Ledger

CVE-2026-68823 er en sårbarhed i Azure Confidential Ledger, en tjeneste fra Microsoft, der bruges til at gemme følsomme data i en uforanderlig log, som ikke kan ændres bagefter. Fejlen er af typen eksponeret farlig metode eller funktion, hvilket betyder, at en funktion i tjenesten er tilgængelig uden tilstrækkelig beskyttelse. En angriber, der allerede har fået høje rettigheder i miljøet, kan udnytte funktionen til at køre kode over netværket, uden at det kræver, at en bruger klikker på noget eller åbner en fil.

Sårbarheden rammer virksomheder og myndigheder, der bruger Azure Confidential Ledger til at opbevare revisionsspor, logdata eller andre oplysninger, der skal kunne dokumenteres som uændrede over tid. Det gælder typisk organisationer med compliance-krav, for eksempel inden for finans, sundhed eller offentlig forvaltning, som har valgt tjenesten som del af deres Azure-opsætning.

Hvis en angriber allerede har fået adgang med høje rettigheder til jeres Azure-miljø, for eksempel via stjålne administratornøgler eller en fejlkonfigureret rolle, kan sårbarheden bruges til at køre kode i selve ledger-tjenesten. Det kan betyde, at data i loggen bliver læst, ændret eller slettet, hvilket underminerer selve formålet med en uforanderlig log: at kunne bevise, at data ikke er blevet manipuleret.

CVSS-score er 9,1 ud af 10, kritisk. Angrebet kræver ingen handling fra en bruger, men kræver, at angriberen allerede har høje rettigheder i miljøet. Fordi angrebsvektoren er netværk og kompleksiteten er lav, er det forholdsvis nemt at udnytte for en angriber, der først har fået fodfæste. Der foreligger ikke oplysninger om, at sårbarheden aktivt udnyttes.

Fordi Azure Confidential Ledger er en cloud-tjeneste, retter Microsoft selve fejlen i tjenesten. Jeres opgave er at sikre, at ingen uautoriserede har fået de rettigheder, der skal til for at udnytte hullet.

1. Bekræft, at jeres Confidential Ledger-ressourcer kører på en opdateret version af tjenesten, og hold øje med Microsofts sikkerhedsmeddelelser.
2. Gennemgå, hvem der har høje rettigheder til jeres Confidential Ledger-ressourcer, og fjern adgang, der ikke er nødvendig.
3. Aktivér logning og overvågning af adgang til ledger-tjenesten, så uventet aktivitet bliver opdaget.
4. Skift adgangsnøgler og legitimationsoplysninger, hvis I har mistanke om, at de kan være kompromitteret.
5. Kontakt Auroa eller anden sikkerhedsrådgiver, hvis I ikke selv kan verificere jeres rettighedsstyring i Azure.