Pesquisadores de segurança cibernética compartilharam mais detalhes sobre uma falha de segurança agora corrigida no Azure Service Fabric Explorer (SFX) que pode permitir que um invasor obtenha privilégios de administrador no cluster.

A vulnerabilidade, rastreada como CVE-2022-35829, possui uma classificação de gravidade CVSS de 6,2 e foi abordada pela Microsoft como parte de suas atualizações do Patch Tuesday na semana passada.

O SFX é descrito pela Microsoft como uma ferramenta de código aberto para inspecionar e gerenciar clusters do Azure Service Fabric, uma plataforma de sistemas distribuídos usada para criar e implantar aplicativos de nuvem baseados em micros serviços.

A vulnerabilidade está enraizada no fato de que um usuário com permissões por meio do cliente SFX pode aproveitar os privilégios para criar um aplicativo não autorizado e abusar de uma falha de XSS armazenado no campo “Nome do aplicativo” para enviar a carga.