🚨 CVE-2025-29813 – Faille critique dans Azure DevOps

EUVD-2025-14048 | CVSS 10.0 – Gravité maximale | CWE-302
🛡️ Vulnérabilité d’authentification contournable par identité usurpée
⚠️ Correctif déjà appliqué par Microsoft, mais risque post-exploitation à surveiller

🔥 Une faille extrêmement critique : CVSS 10/10

Cette vulnérabilité atteint le niveau de sévérité le plus élevé possible dans l’échelle CVSS v3.1.

Pourquoi ? Parce qu’elle permet à un attaquant non authentifié d’obtenir des privilèges élevés à distance, sans interaction de l’utilisateur.

🧨 Un tel vecteur d’attaque représente l’un des pires scénarios de compromission dans un environnement DevOps :

• Pas d’authentification requise
• Aucun privilège initial nécessaire
• Possibilité d’injection directe dans les projets de code

🕵️‍♂️ Détail de l’exploitation

L’attaque repose sur la falsification de données d’authentification supposées immuables (par ex. des claims dans un token).
Azure DevOps ne valide pas correctement ces identifiants, permettant à un attaquant d’usurper une identité avec privilèges élevés.

Scénario d’attaque possible :

1. L’attaquant cible un endpoint d’authentification Azure DevOps exposé publiquement.
2. Il injecte une identité falsifiée via un token ou une requête OAuth mal validée.
3. Azure DevOps accepte ces identités falsifiées sans vérification suffisante.
4. L’attaquant accède alors aux dépôts, déclenche des builds, ou compromet la chaîne CI/CD.

🔐 Pourquoi sécuriser aussi vos environnements de dev ?

Cette attaque met en lumière un point crucial :

✅ Les vulnérabilités dans vos codes sources ne sont pas les seules vecteurs d’attaques. Vos environnements de développement eux-mêmes doivent être considérés comme des actifs critiques.

🎯 Compromissions possibles :

• Push de code malveillant dans un repo
• Ajout d’une backdoor dans le pipeline CI/CD
• Vol de secrets dans les builds
• Déploiement de charges actives vers la production

✅ Ce qu’il faut faire maintenant

Même si Microsoft a déjà appliqué un patch, voici les actions recommandées :

• 🧾 Auditez vos logs (authentification, push Git, builds)
• 🧹 Vérifiez les comptes et droits admin
• 🔐 Révoquez les secrets et jetons inutiles
• 🔄 Contrôlez l’intégrité du code source (Git signing, hashes, audit)

🔗 Sources officielles

• MSRC - Microsoft Security Guide
• Fiche CVE officielle
• EUVD (ENISA) - CVE-2025-29813

🧠 En résumé

💡 Microsoft a joué la carte de la transparence avec une divulgation volontaire.
✅ Le correctif est déjà actif, mais le risque post-compromission demeure.
Assurez-vous qu’aucun acteur malveillant n’a laissé de backdoor dans vos projets ou pipelines.

🔐 La sécurité DevOps ne se limite pas au code — elle commence dès les environnements de développement.