Błąd kontroli dostępu w portalu partner.microsoft.com pozwalał podnieść uprawnienia i sięgnąć do danych obsługiwanych klientów. Poprawkę wdrożył producent, ale przejrzyj konta i uprawnienia oraz włącz logowanie dwuskładnikowe.
Ten alert jest dla zarządu, CTO i CFO firm partnerskich Microsoftu, które obsługują licencje i usługi swoich klientów przez portal partner.microsoft.com. Werdykt: nie ma tu nic do zainstalowania (poprawkę wdrożył producent po stronie usługi), ale dziś przejrzyj konta i uprawnienia w portalu i włącz na nich logowanie dwuskładnikowe, bo luka pozwalała podnieść uprawnienia i była wykorzystywana w atakach.
Amerykańska agencja CISA 25 lutego 2025 roku dopisała podatność CVE-2024-49035 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd dotyczy portalu partnerskiego Microsoftu (partner.microsoft.com), czyli usługi w chmurze, a nie programu instalowanego u klienta. Niepoprawna kontrola dostępu pozwalała podnieść uprawnienia i sięgnąć do danych, do których konto nie powinno mieć dostępu.
Microsoft oznaczył lukę jako krytyczną i naprawił ją po swojej stronie, więc klient nie musi nic instalować. Producent w biuletynie napisał, że działanie po stronie klienta nie jest wymagane, ale trzy miesiące później CISA wpisała lukę do KEV z terminem liczonym w dniach. Termin naprawy dla agencji federalnych minął 18 marca 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2024-49035 |
Data dodania do CISA KEV | 2025-02-25 |
Termin naprawy wg CISA | 2025-03-18 |
Produkt | Microsoft Partner Center (usługa w chmurze pod partner.microsoft.com) |
Wersje zagrożone | Nie dotyczy: to usługa w chmurze, bez numeru wersji. NVD oznacza rekord jako dotyczący wyłącznie usługi producenta |
Wersje bezpieczne | Poprawka wdrożona automatycznie po stronie Microsoftu w ciągu kilku dni od publikacji; klient nie sprawdza ani nie instaluje wersji |
Typ podatności | Niepoprawna kontrola dostępu prowadząca do podniesienia uprawnień przez sieć; CWE-269 |
Ocena CVSS | Microsoft: 8.7 (CVSS 3.1, WYSOKA; wymaga niskich uprawnień i czynności innego użytkownika). NVD: 9.8 (CVSS 3.1, KRYTYCZNA; bez uprawnień i bez udziału użytkownika). Opis Microsoftu mówi o napastniku nieuwierzytelnionym, choć wektor zakłada niskie uprawnienia |
Wyobraź sobie biuro obsługi, w którym każdy doradca ma dostęp tylko do teczek swoich klientów. Niepoprawna kontrola dostępu to sytuacja, w której doradca, podając odpowiednią sztuczkę przy okienku, dostaje teczki cudzych klientów, choć nie powinien. W portalu partnerskim Microsoftu firma partnerska obsługuje wielu klientów naraz, więc podniesienie uprawnień może oznaczać wgląd w dane wielu obsługiwanych podmiotów jednocześnie.
Ważna różnica wobec zwykłych alertów: tu nie ma czego łatać u siebie. Poprawkę wdrożył Microsoft po swojej stronie. Wygoda usługi w chmurze polega właśnie na tym, że nikt nie planuje okna serwisowego. Cena tej wygody: firma nie wie, kiedy dokładnie była podatna ani kiedy przestała, bo nie ma jak tego sprawdzić. Dlatego działanie przenosi się z „aktualizuj” na „sprawdź, kto ma konto i jakie uprawnienia oraz czy nie było nietypowego dostępu”.
💡 Portal partnerski to serwis, przez który firma partnerska Microsoftu zarządza licencjami i usługami swoich klientów. Kontrola dostępu to mechanizm pilnujący, kto co może zobaczyć i zmienić. Podniesienie uprawnień to uzyskanie dostępu szerszego niż przysługujący. Logowanie dwuskładnikowe (MFA) to potwierdzenie tożsamości drugim sposobem obok hasła.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Konto partnera w portalu | Widzi tylko swoich klientów | Mogło sięgnąć do danych innych podmiotów |
Poprawka | Instaluje ją administrator | Wdraża ją producent po stronie usługi |
Sprawdzenie wersji | Widoczne w rejestrze zmian | Brak, to usługa w chmurze |
Wiedza o okresie podatności | Znana z dat instalacji | Nieznana, brak zapisu u klienta |
Reakcja firmy | Aktualizacja | Przegląd kont, uprawnień i logowania |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu, bo szczegóły nie zostały ujawnione, a źródła różnią się co do tego, czy potrzebne jest konto. Ponieważ atak dotyczy jednej usługi w chmurze, a nie tysięcy instalacji, nie nadaje się do masowego skanowania internetu.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Zdobycie punktu wejścia | T-dni | Przejęcie konta partnera (phishing, hasło z wycieku) lub wykorzystanie luki bez konta, zależnie od wariantu | Dostęp do portalu |
2. Podniesienie uprawnień | T+minuty | Wykorzystanie błędu kontroli dostępu | Dostęp szerszy niż przysługujący |
3. Rozpoznanie | T+minuty do godzin | Przegląd danych obsługiwanych klientów | Mapa dostępnych podmiotów i licencji |
4. Wykorzystanie | T+godziny | Odczyt danych, zmiany w licencjach lub usługach klientów | Wyciek lub nadużycie |
5. Ukrycie | Stale | Działanie w ramach pozornie uprawnionego konta | Trudność wykrycia bez logów |
Portal partnerski to jedno miejsce, z którego widać dane wielu klientów. Luka podnosząca uprawnienia w takim miejscu dotyczy nie jednej firmy, ale całego portfela obsługiwanych podmiotów. Największym problemem jest brak własnej widoczności: przy usłudze w chmurze firma zależy od tego, co ujawni producent.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Przegląd kont i uprawnień, wyjaśnianie sytuacji z klientami | Dni | 5 tys. do 50 tys. PLN (praca zespołu, obsługa zapytań klientów) |
Bezpieczeństwo danych | Możliwy wgląd w dane wielu obsługiwanych klientów | Nieznany (brak własnych logów) | 20 tys. do 200 tys. PLN (obsługa incydentu, komunikacja) |
Finansowy | Nadużycia w licencjach, koszty obsługi incydentu, ryzyko utraty klientów | Tygodnie | 20 tys. do 300 tys. PLN |
Reputacyjny | Utrata zaufania klientów, dla których firma jest partnerem technologicznym | Miesiące | 50 tys. do 400 tys. PLN (utracone kontrakty) |
Prawny | Jako podmiot obsługujący dane klientów, obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, jeśli dotyczy danych osobowych; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 20 tys. do 120 tys. PLN (obsługa prawna, zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy partnerskiej z wieloma kontami
i słabym nadzorem dostępu w portalu
Wpływ
5 | . . . . .
4 | . ■ . . . ← WYSOKIE (portfel klientów)
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest wysoki (wgląd w dane wielu klientów), a prawdopodobieństwo dla pojedynczej firmy niskie (EPSS około 0,013, jedna usługa w chmurze, nie masowe skanowanie); poprawka jest już wdrożona, więc realne zadanie to nadzór nad kontami, a nie łatanie.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Przejrzeć konta w portalu partnerskim: kto ma dostęp i jakie uprawnienia | Dziś | Administrator konta partnerskiego |
2 | 🔴 NATYCHMIAST | Usunąć konta osób, które odeszły lub nie obsługują już żadnego klienta | Dziś | Administrator konta |
3 | 🔴 NATYCHMIAST | Włączyć logowanie dwuskładnikowe na wszystkich kontach w portalu | Dziś | Administrator konta |
4 | 🟠 PILNIE | Sprawdzić w portalu dostępne dzienniki aktywności pod kątem nietypowego dostępu | Do 7 dni | Zespół bezpieczeństwa |
5 | 🟠 PILNIE | Ograniczyć uprawnienia administracyjne do minimum potrzebnego do pracy | Do 7 dni | Administrator konta |
6 | 🟡 WAŻNIE | Sporządzić spis usług zewnętrznych z listą kont i uprawnień | Do 30 dni | CTO |
7 | 🟡 WAŻNIE | Ustalić z dostawcą i zapisać, w jakim czasie informuje o incydentach i czy udostępnia logi | Do 30 dni | CTO / dział prawny |
Nie ma tu aktualizacji do wdrożenia: poprawkę wprowadził Microsoft po stronie usługi. Poniższe miary to nie obejścia luki, lecz stałe zmniejszanie ryzyka związanego z kontami w portalu. Oceny efektywności to ocena ekspercka.
Środek ochronny | Efektywność | Łatwość wdrożenia |
|---|---|---|
Logowanie dwuskładnikowe na kontach w portalu | Wysoka wobec przejęcia konta (punktu wejścia) | Łatwa |
Usunięcie zbędnych kont i ograniczenie uprawnień | Wysoka: mniej kont, które mają co „podnieść” | Łatwa |
Regularny przegląd dzienników aktywności | Średnia: pomaga wykryć nadużycie | Średnia: zależy od dostępnych logów |
Spis usług zewnętrznych i kont | Średnia: skraca czas reakcji przy kolejnym incydencie | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Poprawka luki | Wdrażana po stronie Microsoftu | Wdrożona przez producenta |
Konta w portalu | Niesprawdzone, część zbędna | Przejrzane, zbędne usunięte |
Logowanie | Samo hasło | Hasło i drugi składnik |
Uprawnienia | Szersze niż potrzebne | Ograniczone do niezbędnych |
Wiedza o usługach zewnętrznych | Rozproszona w pamięci ludzi | Spisana z kontami i uprawnieniami |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Uwaga: ocena CVSS Microsoftu nadal oznacza brak potwierdzonego kodu ataku, choć pole wykorzystania zmieniono na „tak” |
Grupy przestępcze | Brak publicznych informacji |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 8.7 WYSOKA wg Microsoftu (CVSS 3.1); 9.8 KRYTYCZNA wg NVD (CVSS 3.1) |
PoC dostępny publicznie? | Brak informacji o publicznym kodzie w analizowanych źródłach |
Liczba atakowanych firm | Brak publicznych informacji |
Co robi klient | Nic w zakresie instalacji; poprawkę wdraża producent |
Prognoza EPSS | Około 0,013 (wg analizy źródłowej): niska, bo to jedna usługa w chmurze |
Biuletyn producenta jest wewnętrznie sprzeczny: opis mówi o napastniku bez konta, wektor zakłada niskie uprawnienia, a sekcja pytań opisuje inny produkt. W rozmowie używaj numeru CVE i pytaj o jedną rzecz: czy chodzi o portal partnerski i czy widać ślady nietypowego dostępu.
Sygnały zagrożenia dla CVE-2024-49035
CVSS 3.1 (NVD) 9.8/10 ███████████████████░ KRYTYCZNA
CVSS 3.1 (Microsoft) 8.7/10 █████████████████░░░ WYSOKA
EPSS 0,013 █░░░░░░░░░░░░░░░░░░░ NISKIE (usługa w chmurze)
CISA KEV TAK ████████████████████ ataki potwierdzone
Działanie klienta BRAK ░░░░░░░░░░░░░░░░░░░░ poprawkę wdraża producent 2024-11-26 Publikacja CVE-2024-49035, wpis producenta
2024-11-27 Microsoft zmienia pole wykorzystania na „tak”
(zmiana opisana jako informacyjna)
2025-02-25 CISA dodaje lukę do katalogu KEV
2025-03-18 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... poprawka po stronie usługi wdrożona dawno temu
2026-09-17: TUTAJ JESTEŚMY Dokument Microsoftu: msrc.microsoft.com/update-guide/vulnerability/CVE-2024-49035 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2024-49035 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma korzysta z portalu partnerskiego Microsoftu | CTO | DZISIAJ |
2 | Zlecić przegląd kont i uprawnień w portalu | CTO | DZISIAJ |
3 | Zatwierdzić włączenie logowania dwuskładnikowego na wszystkich kontach | CTO | DZISIAJ |
4 | Zlecić przegląd dzienników aktywności pod kątem nietypowego dostępu | CTO | DO JUTRA |
5 | Ustalić, kto odpowiada za konta w usługach zewnętrznych | CTO | DO JUTRA |
6 | Sprawdzić w umowie z Microsoftem lub dystrybutorem zasady informowania o incydentach | CFO / dział prawny | DO JUTRA |
7 | Zlecić rozpoczęcie spisu usług zewnętrznych z kontami i uprawnieniami | CFO / CTO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy korzystamy z portalu partnerskiego Microsoftu? | TAK / NIE | 🔴 |
2 | Ile kont mamy w portalu i kto ma uprawnienia administracyjne? | [liczba] | 🔴 |
3 | Czy wszystkie konta mają logowanie dwuskładnikowe? | TAK / NIE | 🔴 |
4 | Ile kont należy do osób, które odeszły lub nie obsługują już klientów? | [liczba] | 🟠 |
5 | Czy przejrzeliśmy dzienniki aktywności pod kątem nietypowego dostępu? | TAK / NIE, [data] | 🟠 |
6 | Czy wiemy, w jakim czasie dostawca informuje o incydentach i czy daje logi? | TAK / NIE | 🟠 |
7 | Czy mamy spis usług zewnętrznych z kontami i uprawnieniami? | TAK / NIE, [data] | 🟡 |
CVE-2024-49035 pozwalała podnieść uprawnienia w portalu partnerskim Microsoftu i sięgnąć do danych obsługiwanych klientów, a CISA potwierdza wykorzystanie w atakach. Poprawkę wdrożył producent po stronie usługi, więc nie ma czego instalować, ale przegląd kont i uprawnień oraz włączenie logowania dwuskładnikowego to zadania na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Błąd w NetScaler ADC i Gateway, opisany przez producenta jako awaria, pozwala według badaczy przejąć bramę VPN bez hasła. Publiczny kod istnieje, ataki trwają. Zaktualizuj urządzenia i sprawdź ślady włamania.
Czytaj artykułWykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułBłąd w bibliotece Starlette, podstawie FastAPI, pozwala omijać zabezpieczenia części aplikacji, a w łańcuchu z luką LiteLLM przejąć bramkę AI. CISA potwierdza ataki. Zaktualizuj do 1.0.1 lub nowszej.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.