Vulnerabilidad de Elevación de Privilegios en Document Intelligence Studio On-Prem

Un atacante que explote esta vulnerabilidad podría leer archivos arbitrarios en el sistema de archivos subyacente de Azure AI Document Intelligence Studio. Esto podría incluir archivos de configuración, claves de API, o incluso datos sensibles procesados por la aplicación. La capacidad de escalar privilegios de red implica que el atacante podría potencialmente moverse lateralmente a través de la infraestructura de Azure, comprometiendo otros recursos y datos. La severidad CRÍTICA de esta vulnerabilidad refleja el alto riesgo de impacto y la relativa facilidad con la que podría ser explotada, similar a otras vulnerabilidades de path traversal que han permitido el acceso no autorizado a sistemas críticos.

Organizations heavily reliant on Azure AI Document Intelligence Studio for document processing and those with complex network configurations are particularly at risk. Environments with weak access controls or legacy configurations are also more vulnerable.

• windows / dotnet: Use PowerShell to check for unusual file access patterns.

Get-WinEvent -LogName Security -Filter "EventID=4663 and SubjectUserName!=''" | Where-Object {$_.Properties[0].Value -like 'C:\*\*\*'} | Format-Table -Property TimeCreated, SubjectUserName, ProcessName, Path

• linux / server: Monitor system logs (journalctl) for suspicious file access attempts.

journalctl | grep -i "path traversal" | grep -i "error"

• generic web: Monitor access logs for requests containing unusual path characters (../, \..). Check response headers for unexpected file disclosures.

1. 2025-05-13Disclosure

   disclosure

1. Reservado2025-03-21
2. Publicada2025-05-13
3. Modificada2026-02-13
4. EPSS actualizado2026-03-23

La mitigación principal para CVE-2025-30387 es actualizar Azure AI Document Intelligence Studio a la versión 1.0.03019.1-official-7241c17a o superior, donde la vulnerabilidad ha sido corregida. Si la actualización inmediata no es posible, considere implementar controles de acceso estrictos para limitar el acceso a los recursos de Azure AI Document Intelligence Studio. Revise y endurezca las configuraciones de red para restringir el acceso no autorizado. Implemente reglas en un firewall de aplicaciones web (WAF) para bloquear solicitudes que contengan caracteres sospechosos en la ruta del archivo. Después de la actualización, verifique la integridad del sistema revisando los registros de auditoría y confirmando que no hay actividad inusual.