Microsoft soluciona cuatro vulnerabilidades críticas en su nube

20 de Marzo de 2025 16:20Hrs

Microsoft soluciona cuatro vulnerabilidades críticas en su nube: una alcanza gravedad máxima (CVSS 10/10)

Microsoft ha confirmado la corrección de cuatro fallos de seguridad críticos que afectaban a sus servicios en la nube, principalmente en Azure y Power Apps.

Microsoft ha confirmado la corrección de cuatro fallos de seguridad críticos que afectaban a sus servicios en la nube, principalmente en Azure y Power Apps. Uno de ellos, CVE-2025-29813, ha sido clasificado con una puntuación CVSS de 10 sobre 10, el nivel más alto posible de criticidad. Las otras tres vulnerabilidades también son graves, con puntuaciones de 9,9 y 9,1, y aunque ya han sido mitigadas por Microsoft, resaltan los riesgos que persisten en entornos multi-tenant (multi-inquilino) en la nube.

Detalle de las vulnerabilidades

CVE	Servicio afectado	CVSS	Descripción técnica	Riesgo principal
CVE-2025-29813	Azure DevOps	10,0	Visual Studio gestionaba incorrectamente los pipeline job tokens, permitiendo al atacante escalar privilegios con tokens efímeros.	Persistencia y movimiento lateral dentro del entorno DevOps.
CVE-2025-29827	Azure Automation	9,9	Error de autorización (CWE-285) que posibilitaba a usuarios autenticados elevar permisos en entornos compartidos.	Compromiso total de automatizaciones y runbooks.
CVE-2025-29972	Azure Storage Resource Provider	9,9	Vulnerabilidad SSRF que permitía a un atacante falsificar solicitudes internas con otras identidades.	Acceso no autorizado a datos y expansión lateral.
CVE-2025-47733	Microsoft Power Apps	9,1	Otro caso de SSRF, pero sin requerir autenticación: bastaba una petición manipulada para acceder a datos.	Exfiltración de información desde aplicaciones low-code.

¿Se necesita intervención del cliente?

Microsoft asegura que los fallos ya han sido corregidos en sus plataformas y no requieren acción directa por parte de los usuarios. Sin embargo, se recomienda tomar precauciones adicionales para reforzar la seguridad de los entornos Azure:

Revisar logs de pipelines, runbooks y almacenamiento en busca de actividad anómala (tokens sospechosos, solicitudes internas extrañas, etc.).
Aplicar el principio de mínimo privilegio en identidades, service principals y suscripciones.
Asegurar una correcta segmentación entre entornos de desarrollo y producción.
Monitorizar alertas y métricas mediante Defender for Cloud o soluciones SIEM, para detectar actividad anómala relacionada con SSRF o uso indebido de tokens.

Las vulnerabilidades destacan la importancia de mantener una postura defensiva proactiva en la nube, incluso cuando el proveedor es el encargado principal del entorno. La visibilidad, el control de permisos y el endurecimiento continuo siguen siendo claves frente a amenazas emergentes.

Más información:

Regresar