Исследователь безопасности Джастин О'Лири обнаружил критическую уязвимость в сервисе Azure Backup for AKS и сообщил о ней в Microsoft. По его словам, компания отказалась признавать проблему и присваивать ей идентификатор CVE, но при этом незаметно выпустила исправление.

Уязвимость позволяла злоумышленнику с доступом к бэкапам кластера Kubernetes выполнить произвольный код в контексте резервного копирования. Это могло привести к компрометации данных и распространению атаки на другие компоненты инфраструктуры.

О'Лири утверждает, что Microsoft проигнорировала его отчет и не назначила CVE, сославшись на отсутствие достаточных доказательств. Однако через некоторое время разработчики тихо обновили сервис, фактически закрыв брешь.

Подобное поведение вызывает вопросы к политике прозрачности Microsoft. Если исследователь прав, компания предпочла не афишировать проблему, что может создать ложное ощущение безопасности у клиентов, которые не знают о необходимости обновления.