Este informe no está traducido al idioma solicitado. Se muestra en su lugar el informe canónico en inglés.

Evaluación de seguridad versionada

ID del informe: SA-AB38F624

6/30/2026, 7:34:50 AM

azure-quotas evaluación de seguridad v2

Informe de certificación de seguridad de la habilidad

Historial de auditorías
Modelo de auditoría: codex Informe histórico
Nombre de la habilidad
azure-quotas
Versión
v2
Mantenedor
microsoft
Fuente
github.com/microsoft/azure-skills/tree/main/.github/plugins/azure-skills/skills/azure-quotas/
Cobertura
3 Archivos escaneados · 719 Líneas analizadas
Versión de la política
No disponible

Gravedad máxima de hallazgo confirmada

Medio

2 hallazgos de seguridad confirmados requieren atención.

Contexto de instalación

Evidencia histórica

Este informe podría no describir el artefacto instalable actualmente. Abra la página actual de la Skill para obtener orientación de instalación.

Abrir la página actual de la habilidad

Este informe no bloquea ni autoriza el manifiesto ni el ZIP.

Static analysis flagged many external command, network, and high-risk keyword patterns. Manual review found no malware, credential access, exfiltration, or prompt injection, but the skill does guide Azure CLI usage and includes quota mutation commands that require operator caution.

Posición del informe

Informe histórico

Abra el historial de auditorías antes de usar este informe para instalar.

Atestación de auditoría

No se puede certificar

La vinculación inmutable requerida está incompleta.

Verificación humana

No verificado

No se ha registrado ninguna verificación humana para este informe.

Cobertura

3 Archivos escaneados · 719 Líneas analizadas

2 elementos mostrados para revisión

Limitaciones

Este informe no afirma ninguna ejecución en tiempo de ejecución ni en entorno aislado y no prueba la ausencia de efectos secundarios.

Cadena de evidencias

Sigue la evidencia desde la vinculación del código fuente hasta el contrato de instalación. La evidencia disponible permite la verificación; no constituye una garantía de seguridad.

  1. Fuente

    Vinculación no disponible

  2. Artefacto

    Identidad incompleta

  3. Auditoría

    Completo

  4. Contrato de instalación

    Abrir el manifiesto para verificar

    Abrir el manifiesto

Capacidades observadas

Observado significa que este informe registró evidencia de respaldo. No registrado no prueba que una capacidad esté ausente.

Contiene scripts

Puede ejecutar código incluido con la habilidad.

No registrado por esta auditoría

Acceso a red

Puede conectarse a servicios externos.

Observado en 4 ubicaciones de evidencia

Acceso al sistema de archivos

Puede leer o escribir archivos locales.

No registrado por esta auditoría

Variables de entorno

Puede leer valores del entorno del proceso.

No registrado por esta auditoría

Comandos externos

Puede invocar comandos o programas fuera de la habilidad.

Observado en 7 ubicaciones de evidencia

Hallazgos de riesgos

Las preocupaciones de seguridad confirmadas están separadas de los elementos que aún deben revisarse.

Preocupaciones de seguridad confirmadas (2)

RISK-001 Medio
SKILL.md:45-47SKILL.md:125-141references/commands.md:72-89references/advanced-commands.md:9-12
Azure CLI Command Guidance
The static external command findings are mostly false positives because the files document Azure CLI examples, not executable scripts. They still represent a real operational risk because the skill instructs users or agents to run az quota commands against Azure subscriptions.
The cited lines clearly show Azure CLI command guidance. The risk is operational rather than malicious because the commands are documented examples with placeholders.
RISK-002 Medio
SKILL.md:190-200references/commands.md:127-160references/commands.md:223-252
Quota Mutation Commands Documented
The skill includes az quota update and az quota create examples. These commands can change requested quota limits in a real Azure subscription if run with sufficient permissions.
The commands are explicitly documented and their purpose is quota changes. The examples use placeholders, so this is not evidence of malicious account modification.

Evidencia experta

Identidad inmutable del sujeto, metadatos del escáner, coincidencias descartadas y evidencia a nivel de código fuente.

Sujeto del artefacto

Commit de Marketplace
No disponible
Hash del contenido
No disponible
Hash del árbol
No disponible
Ruta del Skill
No disponible
Hash de la carga de auditoría
No disponible

Metadatos del análisis

Modelo de auditoría: codex

Estado del análisis: Completo

El alcance se limita a los archivos, líneas, métodos y pruebas registrados. No se afirma ninguna ejecución en tiempo de ejecución ni en entorno aislado.

Falsos positivos estáticos ignorados (2)
Bajo
SKILL.md:49SKILL.md:266-269references/commands.md:20references/commands.md:297
Official Azure Documentation and Portal Links
The network findings are hardcoded links to Microsoft Learn and the Azure Portal. No evidence found of hidden external endpoints, telemetry, or data exfiltration.
The URLs point to Azure Portal or Microsoft Learn documentation and are used as references. I found no code that sends user data to these URLs.
Bajo
SKILL.md:3SKILL.md:63SKILL.md:109SKILL.md:184references/commands.md:55references/commands.md:94references/commands.md:122references/commands.md:301
Static High-Risk Pattern Matches Are Documentation False Positives
The weak cryptography and PowerShell findings do not indicate dangerous behavior in context. The cited lines are metadata, command tables, ordinary text, or references to Azure CLI output fields.
Manual review of the cited locations showed no weak cryptographic primitive and no executable PowerShell invocation. The findings appear to be keyword collisions in Markdown.

Verificar y exportar

Informe JSON CITATION.cff SARIF 2.1.0 Manifiesto de instalación firmado

El manifiesto y el archivo de bloqueo vinculan los artefactos de instalación a hashes criptográficos. Esta afirmación de integridad es independiente de la evaluación de seguridad.

Atestación de auditoría: not_attestable