Microsoft MSRC soll Abhängigkeitsverwechslung-Schwachstelle ignoriert haben, behauptet Forscher

Technik und Auswirkungen

Februar erklärte der MSRC: „Wir haben diese Angelegenheit untersucht und festgestellt, dass die Abhängigkeit 'FxInternal/NetDiagnostics' intern auf portal.azure.com aufgelöst wird, was bedeutet, dass dies als Sicherheitslücke schwer auszunutzen wäre." Wahid Fayad widersprach mit Nachweisen: Er legte das Payload, die Installationspfade und die IP-Zuordnung zu Microsoft vor.

Am 7. Februar übermittelte das MSRC die Beweise an sein Service-Team, schloss den Fall jedoch am 24. März 2026 formell ab und stellte fest, dass der OOB-Callback von „automatisierten Sicherheitstools und nicht Laufzeit-Pipeline" stammt. Der Forscher legte am selben Tag formell Berufung ein, verfolgte den Fall bis zum 14. April und erhielt am 21.

April eine endgültige Ablehnung; das MSRC behauptete dabei, das Paket sei „immer aus einer internen Quelle geladen worden" und eine Injektion sei „nicht möglich". Unabhängig ätzung des MSRC löste das Vorhandensein des Pakets im öffentlichen Register automatisierte Bedrohungsintelligenz-Pipelines im gesamten Sicherheitsökosystem aus.

Technik und Auswirkungen

Innerhalb der Veröffentlichung markierten Sicherheitsüberwachungsdienste das Paket @fxinternal/netdiagnostics als aktive Supply-Chain-Bedrohung.

Das Paket wurde anschließend in der GitHub Advisory Database unter der Referenz GHSA-83×6-432q-hpcf indiziert und erhielt eine kritische Schweregrad-Bewertung von 9,3 gemäß CWE-506 (Embedded Malicious Code), einer Klassifizierung, die für Pakete verwendet wird, die als bösartige Ausführungsinhalte enthalten oder simulieren.

Die Existenz dieses Advisories bestätigt unabhängig, dass Drittanbieter-Sicherheitssysteme das Ereignis als echte, hochkritische Supply-Chain-Bedrohung einstufen, unabhängig ätzung im Jahr 2026 Diese Enthüllung fällt in eine Phase verstärkter Prüfung der Vulnerability-Handling-Prozesse äre des Forschers Nightmare-Eclipse (auch bekannt als Chaotic Eclipse), die sechs Windows-Zero-Day-Lücken einschloss – darunter BlueHammer (CVE-2026-33825), RedSun (CVE-2026-41091), UnDefend (CVE-2026-45498), YellowKey (CVE-2026-45585), GreenPlasma und MiniPlasma – konzentrierte sich ebenfalls auf Streitigkeiten bezüglich der Zuordnung und Prozessversäumnisse innerhalb wurden bereits aktiv in der Wildnis ausgenutzt, bevor Patches verfügbar waren.

Technik und Auswirkungen

Microsoft hat sein Coordinated Vulnerability Disclosure (CVD)-Rahmenwerk öffentlich verteidigt, steht jedoch gleichzeitig unter rechtlicher Prüfung und Kritik bei der Anerkennung ßung von Fällen.

Der Fall der Dependency Confusion ist in seiner Natur einzigartig – er betrifft Lieferkettenrisiken für Drittanbieter-Entwickler statt der Ausnutzung des Windows-Kernels – teilt jedoch den gleichen Kernkonflikt: Ein Forscher präsentierte empirische Beweise für eine Ausführung, die das MSRC jedoch nicht als bestätigte Schwachstelle einstuften.

Die Einordnung des OOB-Callback durch das MSRC als „automatisierte Sicherheitsaufnahme" mag in einem isolierten internen Kontext Berechtigung haben. Dieses Framing lässt jedoch ein kritisches Downstream-Risiko außer Acht: Die Referenz auf das @FxInternal/NetDiagnostics-Paket ist in öffentlich zugänglichen JavaScript-Assets des Azure-Portals eingebettet.

Einordnung fuer Autofahrer

Jede externe Entwicklerumgebung, Partnerumgebung oder CI/CD-Pipeline, die auf Assets im Azure Portal zugreift, diese spiegelt, bündelt oder dagegen kompiliert, würde diese Abhängigkeit automatisch aus dem öffentlichen NPM-Registry auflösen und dabei den Code abrufen, den der Namensraumseigentümer veröffentlicht.

Der Sicherheitsblog, der im Mai 2026 veröffentlicht wurde, dokumentierte eine separate Kampagne mit 33 bösartigen NPM-Paketen, die Abhängigkeitsverwirrung ausnutzen, um Erkundungsdaten aus Entwickler- und Buildumgebungen zu erbeuten. Dies unterstreicht, dass dieser Angriffsvektor aktiv ausgenutzt wird.