Microsoft Entra Provisioning Service: повышение привилегий через выход за пределы каталога

Microsoft Entra Provisioning Service допускает повышение привилегий

Уязвимость CVE-2026-59115 позволяет злоумышленнику повысить свои привилегии в Microsoft Entra Provisioning Service. Уязвимость связана с возможностью выхода за пределы каталога. Эксплуатация не требует взаимодействия с пользователем. Уязвимость была выявлена 11 августа 2026 года. Информация об уязвимости последний раз обновлялась в тот же день.

Microsoft Entra Provisioning Service управляет синхронизацией учетных данных

Microsoft Entra Provisioning Service является компонентом облачной платформы Microsoft Entra ID. Сервис отвечает за автоматизированную синхронизацию данных учетных записей между различными приложениями и системами. Он используется для управления доступом пользователей и обеспечения согласованности данных в корпоративной среде. Продукт относится к категории серверного программного обеспечения.

Уязвимость затрагивает все версии Microsoft Entra Provisioning Service

Уязвимость CVE-2026-59115 присутствует во всех версиях Microsoft Entra Provisioning Service. Уязвимость классифицирована как ошибка программного обеспечения, связанная с выходом за пределы каталога. Метод эксплуатации уязвимости заключается в манипулировании ресурсами. Для устранения уязвимости выпущен официальный патч от вендора. НКЦКИ рекомендует устанавливать обновления после оценки рисков, связанных с текущей геополитической ситуацией и санкциями.

Установите патч для Microsoft Entra Provisioning Service

Для устранения уязвимости CVE-2026-59115 необходимо установить официальный патч, выпущенный Microsoft. Перед установкой обновлений рекомендуется провести оценку сопутствующих рисков. Уязвимость также имеет идентификатор ФСТЭК BDU:2026-11623.

Источник: НКЦКИ