CVE-2025-64663: Elevación de Privilegios en Azure Cognitive Service for Language

La explotación exitosa de esta vulnerabilidad permite a un atacante eludir los controles de acceso y obtener acceso no autorizado a información sensible almacenada o procesada por el servicio Azure Cognitive Service for Language. Esto podría incluir datos personales, información financiera o secretos comerciales. El atacante podría modificar la configuración del servicio, inyectar código malicioso o incluso utilizar el servicio para lanzar ataques contra otros sistemas dentro de la infraestructura de Azure. La severidad CRÍTICA de esta vulnerabilidad indica un alto riesgo de impacto significativo en la seguridad y la disponibilidad de los sistemas afectados. Aunque no se han reportado casos de explotación pública, la naturaleza de la vulnerabilidad y su potencial impacto justifican una atención inmediata.

Organizations heavily reliant on Azure Cognitive Service for Language for processing sensitive data, particularly those using older versions (1.0.0 and earlier), are at significant risk. Those with complex access control configurations or those who have not implemented robust RBAC policies are also more vulnerable.

• azure: Review Azure Activity Logs for suspicious API calls related to the Cognitive Service for Language, specifically focusing on attempts to bypass access controls. • azure: Use Azure Security Center to monitor for unusual user activity and privilege escalation attempts. • generic web: Monitor network traffic to and from the Cognitive Service endpoint for unexpected patterns or unauthorized requests. • generic web: Review application logs for errors or anomalies that might indicate an attempted exploit.

1. 2025-12-18Disclosure

   disclosure

1. Reservado2025-11-06
2. Publicada2025-12-18
3. Modificada2026-04-16
4. EPSS actualizado2026-03-23

La mitigación principal para esta vulnerabilidad es actualizar Azure Cognitive Service for Language a la versión 2.5.4 o superior. Si la actualización inmediata no es posible, se recomienda revisar cuidadosamente la configuración de Preguntas y Respuestas Personalizadas para identificar y eliminar cualquier posible vector de ataque. Implementar controles de acceso estrictos, limitando el acceso a la funcionalidad de Preguntas y Respuestas Personalizadas solo a usuarios autorizados, también puede ayudar a reducir el riesgo. Monitorear los registros del servicio en busca de actividades sospechosas, como intentos de acceso no autorizados o modificaciones inesperadas en la configuración, es crucial para detectar y responder a posibles ataques. No se han identificado soluciones alternativas o parches temporales, por lo que la actualización es la medida más efectiva.