Päivän 2026-05-14 jälkikäteisanalyysi, laadittu 27. lokakuuta 2026. Päiväys tarkoittaa tarkasteltavaa päivää; lähteiden julkaisu- ja päivityspäivät on merkitty alle.
Mitä tiedote muuttaa ympäristössäsi
Lähtökohtana on CERTFR-2026-AVI-0587, julkaistu 2026-05-13. Soveltamisalaan kuuluvat Azure SDK pour Java, azl3 pgbouncer 1.25.1-1, azl3 thrift 0.15.0-5, azl3 influxdb 2.7.5-15, azl3 kata-containers-cc 3.15.0.aks0-9, Azure Machine Learning, azl3 vim 9.2.0392-1, Azure Monitor Agent, Azure Monitor Agent Metrics Extension, Azure Connected Machine Agent. Ilmoitetut seuraukset ovat koodin etäsuoritus, turvakontrollien ohitus, oikeuksien korotus. Ne koskevat tiedotteen kokonaisalaa; kaikkia seurauksia ei liitetä jokaiseen tuotteeseen tai CVE-tunnisteeseen.
Tapauksessa on 11 versiokohtaa ja 7 CVE-tunnistetta. Seuraa korjausta komponenteittain: yleisen päivityksen onnistuminen ei osoita tuotteiden Azure SDK pour Java ja Azure Connected Machine Agent omien korjausten asentumista.
Tarkasteltavat tuotteet ja versiot
- Viite
- CERTFR-2026-AVI-0587
- Lähteen ensimmäinen julkaisu
- 2026-05-13
- Viimeisin tälle päivälle saatavilla ollut päivitys
- 2026-05-13
- Mainitut komponentit
- Azure SDK pour Java, azl3 pgbouncer 1.25.1-1, azl3 thrift 0.15.0-5, azl3 influxdb 2.7.5-15, azl3 kata-containers-cc 3.15.0.aks0-9, Azure Machine Learning, azl3 vim 9.2.0392-1, Azure Monitor Agent, Azure Monitor Agent Metrics Extension, Azure Connected Machine Agent
- CVE-tunnisteet
- CVE-2026-33117, CVE-2026-40381, CVE-2026-33833, CVE-2026-32204, CVE-2026-42823, CVE-2026-40370, CVE-2026-42830
| Komponentti | Julkaistu ehto |
|---|---|
| Azure SDK pour Java | < 4.10.6 |
| azl3 pgbouncer 1.25.1-1 | < 1.25.2-1 |
| azl3 thrift 0.15.0-5 | < 0.15.0-6 |
| azl3 influxdb 2.7.5-15 | < 2.7.5-16 |
| azl3 kata-containers-cc 3.15.0.aks0-9 | < 3.15.0.aks0-10 |
| Azure Machine Learning | < 1.7.6 |
| azl3 vim 9.2.0392-1 | < 9.2.0461-1 |
| Azure Monitor Agent | < 1.14.0 |
| Azure Monitor Agent Metrics Extension | < 1.42.0 |
| Azure Connected Machine Agent | < 1.63 |
Tuotteen Azure SDK pour Java julkaistu ehto on ”< 4.10.6”. Vertaa oikeasti ladattua versiota ehtoon omassa versiohaarassaan. Tuotteen Azure SDK pour Java toisen laitoksen korjaus ei sulje tätä tapausta.
Mekanismi ja edellytykset
Koodin suoritus voi antaa hyökkääjälle prosessin oikeudet. Tarkista palvelutunnus ja saavutettavat verkkokohteet; eristäminen vähentää sivuttaisliikkumista mutta ei korvaa korjausta.
Lähteelle CERTFR-2026-AVI-0587 ei ole riittävän ajantasaista historiallista CVE-ensisijaistietuetta edellytysten täsmentämiseen. Tunnistautumista, käyttäjän osallistumista ja aktiivista hyväksikäyttöä ei siten vahvisteta tässä; niitä ei päätellä nimestä Azure SDK pour Java tai riskiluokasta.
Sopivan toimenpiteen valinta
- Etsi tuotteen Azure SDK pour Java instanssit, käynnissä olevat versiot ja vastuuhenkilöt. Tallenna ehto < 4.10.6 viitteen CERTFR-2026-AVI-0587 rinnalle.
- Vertaa asennettua haaraa tuotteen Azure SDK pour Java valmistajaohjeisiin. Valmistele haaran paketti ja riippuvan palvelun testi sekä säilytä alkutilanne.
- Tallenna tuotteen Azure SDK pour Java ladattu versio uudelleen muutoksen jälkeen ja tarkista kuvattu työnkulku. Poikkeus tarvitsee omistajan, altistumisen rajoituksen ja päättymispäivän.
Korjauksen todentaminen käytännössä
Tuotteeseen Azure SDK pour Java sovitettava tarkistusskenaario: Tallenna tuotteen Azure SDK pour Java prosessin tai aktiivisen ytimen lataama versio ja käynnistä uudelleen vain huolto-ohjeiden mukaan. Testaa riippuva työnkulku ja etsi sisällytettyjä kopioita jaetuista kuvista tai ohjelmista. Kyse on ehdotetusta puolustavasta testistä, ei väitteestä kolmannen osapuolen järjestelmän testaamisesta.
Lähteen CERTFR-2026-AVI-0587 rajoitus: analyysi ei korvaa valmistajan edellytyksiä tai lokitutkimusta. Vain dokumentoidut versiot esitetään; hyökkäyspäiviä tai uhreja ei keksitä.
Tapauskohtaiset kysymykset
Mikä ehto tuotteelle Azure SDK pour Java on tarkistettava?
Tiedote CERTFR-2026-AVI-0587 ilmoittaa Azure SDK pour Java — < 4.10.6. Tarkista laitos ja käynnissä oleva versio; älä yleistä rajaa mainitsemattomiin haaroihin.
Miksi tuotteille Azure SDK pour Java ja Azure Connected Machine Agent ei riitä yksi korjaus?
CERTFR-2026-AVI-0587 erottaa komponentit 11 kohdan kokonaisuudessa. Vertaa jokaista haaraa sen päivitysohjeisiin ja omaan toiminnalliseen testiin.
Mitä tuotteen Azure SDK pour Java altistumisarviosta puuttuu?
Selvitä tuotteen Azure SDK pour Java käynnissä oleva versio, käyttöpolku ja prosessin oikeudet. Lähteet CERTFR-2026-AVI-0587 eivät vahvista kaikkia edellytyksiä tai aktiivista hyväksikäyttöä.
Lähteet ja liittyvät artikkelit
- CERT-FR · CERTFR-2026-AVI-0587
- Valmistaja ja korjaukset · msrc.microsoft.com
- Valmistaja ja korjaukset · msrc.microsoft.com
- Valmistaja ja korjaukset · msrc.microsoft.com
- Valmistaja ja korjaukset · msrc.microsoft.com
Käytännön opas : Haavoittuvuuksien priorisointi ja korjaavien toimenpiteiden varmentaminen
Syvennä tämän tapauksen päätöstä
Lähdetiedotteen täydellinen luettelo
Artikkelin taulukko voi olla ote. Luetteloissa ovat kaikki mainitun tiedoteversion järjestelmämerkinnät ja CVE-tunnukset. Ne eivät ole omien laitteidesi inventaario eivätkä yhdistä jokaista CVE:tä jokaiseen tuotteeseen.
Virallinen lähde · CERTFR-2026-AVI-0587
Tiedotteen versio : · Tarkistettu :
Vaikutuksen alaiset järjestelmät · 11
Ranskankielinen alkuperäisteksti säilytetään versioehtojen monitulkintaisten käännösten välttämiseksi.
- Azure Logic Apps
- Azure SDK pour Java versions antérieures à 4.10.6
- azl3 pgbouncer 1.25.1-1 versions antérieures à 1.25.2-1
- azl3 thrift 0.15.0-5 versions antérieures à 0.15.0-6
- azl3 influxdb 2.7.5-15 versions antérieures à 2.7.5-16
- azl3 kata-containers-cc 3.15.0.aks0-9 versions antérieures à 3.15.0.aks0-10
- Azure Machine Learning versions antérieures à 1.7.6
- azl3 vim 9.2.0392-1 versions antérieures à 9.2.0461-1
- Azure Monitor Agent versions antérieures à 1.14.0
- Azure Monitor Agent Metrics Extension versions antérieures à 1.42.0
- Azure Connected Machine Agent versions antérieures à 1.63