«Уязвимость [CVE-2024-21407] требует, чтобы аутентифицированный злоумышленник на гостевой ВМ отправлял специально подготовленные запросы файловых операций на ВМ, обращенные к аппаратным ресурсам, что может привести к удаленному выполнению кода на хост-сервере», — сообщают в Microsoft.
«Злоумышленник, успешно воспользовавшийся этой уязвимостью, мог похитить учетные данные и повлиять на ресурсы, выходящие за рамки зоны безопасности, управляемой Azure Kubernetes Service Confidential Containers (AKSCC)», — поясняется в сообщении Microsoft.
«Любой аутентифицированный пользователь может воспользоваться этой уязвимостью. Для этого не требуются права администратора или другие повышенные привилегии», — пишут эксперты.
«Злоумышленник может воспользоваться уязвимостью, отправив пользователю вредоносную ссылку или вредоносное изображение через мгновенное сообщение, а затем убедив его кликнуть по этой ссылке или изображению», — сообщает Microsoft.