觀點 · 資訊分享

微軟一天公布 3 個 CVSS 10 分的 Azure 漏洞，但官方說已修好、使用者不用做任何事

Azure AI Foundry、Azure Kubernetes Service、Azure Databricks 在 4/2 各有一個 CVSS 10.0 的提權漏洞被公布。微軟說這些雲端服務漏洞已經完全修補，公告只是為了透明，使用者不需要動作。

一句話看懂：微軟在 4 月 2 日公布 Azure AI Foundry、AKS、Azure Databricks 三個 CVSS 10.0 的漏洞，但官方說已經完全修補，使用者不需要做任何事。

Azure 3 個滿分漏洞已修好資訊圖卡：微軟公布 3 個 CVSS 10.0 的 Azure 漏洞，使用者不用處理

先用白話講：為什麼雲端漏洞也會有 CVE？

以前提到漏洞，多半是「軟體有洞，廠商出更新，使用者趕快裝」，就像你家的鎖有問題，廠商寄來新鎖，你要自己換。

雲端服務不太一樣：服務是微軟自己在機房裡運作的，鎖壞了，微軟直接在機房內換好，你完全不知道。以前這類問題不一定會公開。微軟在 2024 年決定：就算你不用做任何事，嚴重的雲端漏洞也要發 CVE 公開，讓大家知道曾經有過這個問題。

MSRC（微軟安全回應中心）在 4 月 2 日公布三個 CVE：

三個的描述都是「未經授權的攻擊者可以透過網路提升權限」，微軟給的 CVSS 基礎分數都是 10.0（嚴重等級 Critical），暫時性分數 8.7。

MSRC 在這三筆的常見問答裡寫得很清楚：這個漏洞已經由微軟完全修補，使用者沒有需要採取的動作；公布 CVE 的目的是提供更多透明度。

另外，發布時 MSRC 標示：

NVD（美國國家漏洞資料庫）收錄這三筆時，另外自己評了一個 9.8 分，微軟的是 10.0。兩者差別在 CVSS 的「影響範圍（Scope）」欄位：微軟評為「範圍改變」，NVD 評為「範圍不變」。這是評分觀點不同，不是漏洞本身有變。

看到「CVSS 10.0」四個字，直覺會想趕快處理，但這類雲端服務 CVE 其實是微軟的透明化政策：問題已經修了，公告只是讓你知道。

我自己的做法是：先看有沒有「客戶需要動作」的欄位，沒有的話就記錄一下就好。比較需要小心的是反過來的情況，如果有客戶因為這種新聞開始恐慌，要先用一句話跟他說明「微軟已修好、不用處理」，避免不必要的緊急會議；若客戶需要正式的合規文件，把 MSRC 頁面截圖存檔就夠了。

為什麼已經修好了還要發 CVE？

微軟在 2024 年 6 月宣布，之後會替嚴重的雲端服務漏洞發 CVE，不管客戶需不需要安裝修補或採取行動，目的是讓大家看到雲端服務也有漏洞、以及怎麼被處理的。

我需要升級 AKS 或做任何設定嗎？

MSRC 的說明是：這些漏洞已經由微軟完全修補，使用者沒有要採取的步驟。若你想更放心，可以參考官方頁面或聯絡微軟支援，但公告本身沒有要求任何動作。

CVSS 10.0 是最嚴重的嗎？有被駭客利用嗎？

10.0 是 CVSS 的滿分，代表理論上的風險很高。但 MSRC 在發布時標示這三個漏洞「已利用：否」「已公開揭露：否」，而且已經修補完成。

作者

接案做系統開發、網站與主機託管。觀點裡的文章都是我自己寫的,寫的是做專案時第一手遇到的事。