Vulnerabilidad de divulgación de información en Microsoft Power Apps

Un atacante que explote esta vulnerabilidad de SSRF en Microsoft Power Apps podría obtener acceso a recursos internos de la red que normalmente no serían accesibles desde el exterior. Esto podría incluir información confidencial almacenada en bases de datos, archivos de configuración o incluso otros sistemas internos. La capacidad de realizar solicitudes arbitrarias a través del servidor abre la puerta a la exposición de datos sensibles y la posible escalada de privilegios. El impacto se amplifica si Power Apps se utiliza para integrar con otros servicios internos, ya que un atacante podría utilizar la vulnerabilidad para acceder a esos servicios indirectamente. Aunque no se han reportado explotaciones públicas, la alta puntuación CVSS indica un riesgo significativo.

Organizations heavily reliant on Microsoft Power Apps for business processes, particularly those integrating with internal systems or APIs, are at significant risk. Environments with weak network segmentation or inadequate input validation are especially vulnerable. Any deployment of Power Apps prior to the fixed version is potentially exposed.

• windows / dotnet: Monitor Power Apps logs for outbound requests to unexpected internal or external IP addresses or domains. Use PowerShell to check for unusual network connections initiated by Power Apps processes.

Get-Process -Name "PowerAppsService" | ForEach-Object { Get-NetTCPConnection -OwningProcess $_.Id }

• generic web: Monitor web server access logs for requests originating from Power Apps that target internal resources. Examine response headers for signs of SSRF exploitation (e.g., unusual server names or IP addresses). • database (mysql, redis, mongodb, postgresql): While less direct, monitor database logs for unusual connection attempts or queries originating from Power Apps, which could indicate an attacker attempting to leverage SSRF to access database information.

1. 2025-05-08Disclosure

   disclosure

1. Reservado2025-05-08
2. Publicada2025-05-08
3. Modificada2026-02-13
4. EPSS actualizado2026-03-23

Para mitigar el riesgo asociado con CVE-2025-47733, se recomienda implementar las siguientes medidas. En primer lugar, actualice Microsoft Power Apps a la última versión disponible que incluya la corrección de seguridad. Si la actualización no es inmediatamente posible, considere implementar reglas de firewall para restringir el acceso a recursos internos desde Power Apps. Además, revise y refuerce las configuraciones de red para limitar el alcance de las solicitudes que Power Apps puede realizar. Implemente controles de acceso estrictos para limitar quién puede utilizar Power Apps y qué recursos pueden acceder. Monitoree los registros de Power Apps en busca de actividad sospechosa, como solicitudes a direcciones IP internas inesperadas. Verifique después de la actualización que Power Apps no pueda acceder a recursos internos no autorizados.