Apa yang terjadi
CVE-2026-108456 adalah SSRF (CWE-918) di Azure AI Foundry yang memungkinkan penyerang berwenang menaikkan hak istimewa melalui jaringan. CVSS 7.7 (ruang lingkup berubah, dampak kerahasiaan), dipublikasikan 2026-10-22. Microsoft menandainya sebagai layanan yang dihosting eksklusif dan memperbaikinya di sisi layanan.
Mengapa penting
Dalam platform GenAI perusahaan, SSRF dari pengguna terautentikasi dapat digunakan untuk mencapai endpoint metadata/kontrol internal dan menaikkan hak istimewa — jalur menuju pengungkapan kunci model, rahasia penyewa, dan infrastruktur internal di balik batas layanan AI.
Vektor serangan
Server-side request forgery (CWE-918) di Azure AI Foundry memungkinkan penyerang berwenang menaikkan hak istimewa melalui jaringan; pengguna terautentikasi dapat menyalahgunakan SSRF untuk mencapai sumber daya internal/berhak istimewa yang dapat dijangkau oleh layanan Foundry.
Sistem yang terdampak
Microsoft Azure AI Foundry (layanan yang dihosting)
Mitigasi
Microsoft memperbaikinya di sisi layanan (di-hosting cloud). Tidak ada tindakan pelanggan yang diperlukan, tetapi pastikan Anda berada di layanan yang telah ditambal; batasi prinsipal mana yang dapat memicu operasi pengambilan keluar dan pantau aktivitas SSRF. MSRC advisory CVE-2026-108456.