Этот отчет не переведен на запрошенный язык. Вместо него показан канонический отчет на английском языке.

Версионная оценка безопасности

ID отчёта: SA-EBDFE608

7/23/2026, 6:05:40 PM

azure-compute оценка безопасности v5

Отчёт о сертификации безопасности навыка

История аудитов
Версия сканера 3.0.0 Модель аудита: codex Последний опубликованный отчёт
Название навыка
azure-compute
Версия
v0.0.0-placeholder
Сопровождающий
microsoft
Источник
github.com/microsoft/github-copilot-for-azure/tree/main/plugin/skills/azure-compute/
Охват
51 Просканировано файлов · 3,381 Проанализировано строк
Версия политики
skillstore-security-audit-policy-v1

Наивысшая серьёзность подтверждённого результата

Высокий

Подтверждённые проблемы безопасности (16) требуют внимания.

Контекст установки

Проверьте текущую страницу навыка

Эта страница содержит только сводку доказательств отчёта. Страница Навыка содержит каноническое уведомление об установке.

Открыть текущую страницу Навыка

Этот отчёт не блокирует и не разрешает манифест или ZIP.

Most static alerts are documentation syntax, official Microsoft endpoints, private or sample addresses, and SSH public-key references. Fourteen static findings remain confirmed because they contact a third party or change remote firewall, authentication, privilege, networking, or SELinux state. Semantic review also found shell injection exposure, fail-open ingress, unsafe host-key guidance, broad unconfirmed EMM changes, and plaintext password handling.

Позиция отчета

Последний опубликованный отчёт

«Последний» относится к последовательности отчётов, а не к актуальности артефакта.

Аттестация аудита

Активная аттестация

Для этого точного отчёта доступна публичная аттестация.

Проверка человеком

Не проверено

Для этого отчета не зафиксирована проверка человеком.

Охват

51 Просканировано файлов · 3,381 Проанализировано строк

19 элементов показано для проверки

Ограничения

Этот отчёт не заявляет о выполнении во время работы или в песочнице и не доказывает отсутствие побочных эффектов.

Цепочка доказательств

Проследите доказательства от привязки источника до контракта установки. Доступные доказательства подтверждают возможность проверки; они не являются гарантией безопасности.

  1. Источник

    Коммит и путь привязаны

  2. Артефакт

    Хэши содержимого и дерева привязаны

  3. Аудит

    Завершено

  4. Контракт установки

    Открыть манифест для проверки

    Открыть манифест

Обнаруженные возможности

«Обнаружено» означает, что в этом отчете зафиксированы подтверждающие доказательства. «Не зафиксировано» не доказывает отсутствие возможности.

Содержит скрипты

Может выполнять код, включённый в Skill.

Не зафиксировано этим аудитом

Доступ к сети

Может подключаться к внешним службам.

Обнаружено в 33 местах расположения доказательств

Доступ к файловой системе

Может читать или записывать локальные файлы.

Обнаружено в 34 местах расположения доказательств

Переменные окружения

Может считывать значения из окружения процесса.

Не зафиксировано этим аудитом

Внешние команды

Может вызывать команды или программы вне Навыка.

Обнаружено в 41 местах расположения доказательств

Пункты проверки возможностей (3)
Высокий
workflows/vm-troubleshooter/references/credential-auth-errors.md:25
sudo privilege escalation
| sudo password prompt fails / user not in sudoers | Fix via Run Command or Serial Consol
The workflow recommends fixing sudo access through Run Command or Serial Console. This can grant administrative privileges and requires explicit authorization.
Высокий
workflows/vm-troubleshooter/references/firewall-blocking.md:33
PowerShell invocation
--command-id RunPowerShellScript \
This Azure Run Command invokes PowerShell to enable the Remote Desktop firewall rule. It changes guest firewall policy and can increase network exposure if applied without explicit approval.
Средний
workflows/vm-creator/examples/terraform/README.md:14
Shell command substitution
MY_IP=$(curl -s ifconfig.me)/32 # your current public IP, locked to /32
This example contacts ifconfig.me to derive the caller public IP for an NSG source. It reveals client metadata to a third-party service and adds an external dependency.

Результаты оценки рисков

Подтверждённые проблемы безопасности отделены от элементов, которые всё ещё требуют проверки.

Подтверждённые проблемы безопасности (16)

RISK-001 Высокий
workflows/vm-troubleshooter/references/firewall-blocking.md:33
System reconnaissance
--command-id RunPowerShellScript \
The paired remote command enables the Windows Remote Desktop firewall rule. This changes guest firewall policy and can increase administrative network exposure.
RISK-002 Высокий
workflows/vm-troubleshooter/references/firewall-blocking.md:48
System reconnaissance
--command-id RunShellScript --scripts "iptables -I INPUT -p tcp --dport 22 -j ACCEPT"
The command inserts an iptables rule that permits inbound SSH. This changes guest firewall policy and may expose port 22 beyond the intended source network.
RISK-003 Высокий
workflows/vm-troubleshooter/references/firewall-blocking.md:52
System reconnaissance
--command-id RunShellScript \
This Run Command begins a persistent firewalld change that opens the SSH service. The operation changes a VM security control and needs explicit approval.
RISK-004 Высокий
workflows/vm-troubleshooter/references/firewall-blocking.md:57
System reconnaissance
--command-id RunShellScript --scripts "ufw status; ufw allow 22/tcp"
The command runs ufw allow for port 22 on the remote VM. It changes firewall policy and can broaden SSH exposure.
RISK-005 Высокий
workflows/vm-troubleshooter/references/ssh-connectivity.md:47
System reconnaissance
--command-id RunShellScript --scripts "setenforce 0"
The command sets SELinux to permissive mode on the remote VM. This weakens mandatory access controls and should only run after explicit approval with a restoration plan.
RISK-006 Высокий
workflows/vm-creator/references/delivery-options/github-pr.md:5-12workflows/vm-creator/references/delivery-options/github-pr.md:25-51
Unvalidated shell placeholders in GitHub delivery
The workflow accepts user-supplied repository, branch, and target path values, then inserts them into shell commands without validation or consistent quoting. Crafted values could execute unintended commands.
The same file collects user-controlled branch and path values and later places those placeholders in shell command positions. No allowlist validation or complete shell quoting is specified.
RISK-007 Высокий
workflows/vm-creator/references/depth-probe/beginner.md:16
Fail-open management port exposure
The beginner flow permits an unrestricted source when public IP detection fails. This can expose SSH or RDP management ports to the entire internet.
The guidance explicitly allows a wildcard source after detection failure. A warning in the Plan Card does not prevent generation of the exposed configuration.
RISK-008 Высокий
workflows/vm-troubleshooter/references/ssh-connectivity.md:13
SSH host key removal lacks fingerprint verification
The SSH troubleshooting table recommends removing the old known_hosts entry after redeployment without first verifying the replacement host key. This can normalize a man-in-the-middle warning.
The line directly maps host-key verification failure to deleting the stored entry and provides no fingerprint validation step. The omission is security-relevant even in a legitimate redeployment.
RISK-009 Высокий
workflows/essential-machine-management/references/emm-enable-flow.md:115-137workflows/essential-machine-management/references/emm-enable-flow.md:162-185
Subscription-wide EMM changes lack a final confirmation gate
The EMM flow registers providers and submits a subscription-level deployment on the user behalf without an explicit final confirmation. Enrollment affects existing VMs and can enable paid services.
The workflow states that Copilot performs commands and API calls, then reaches provider registration and PUT or DELETE operations without a final approval instruction. The documented scope and pricing effects are subscription-wide.
RISK-010 Высокий
workflows/vm-creator/references/output-adapters/az-cli.md:65workflows/vm-troubleshooter/references/ssh-connectivity.md:33-35workflows/vm-troubleshooter/references/rdp-connectivity.md:40-41workflows/vm-troubleshooter/references/credential-auth-errors.md:32-33workflows/vm-troubleshooter/references/credential-auth-errors.md:48-50
Plaintext passwords in command arguments
Creator and troubleshooting guidance place VM administrator passwords directly in command arguments. These secrets can remain in shell history, transcripts, or process listings.
Each cited command passes a password through an az CLI argument. Command-line secrets can be retained in shell history and exposed through process inspection.
RISK-011 Средний
workflows/vm-troubleshooter/references/credential-auth-errors.md:9
System reconnaissance
| "Your credentials did not work" | Reset password via Portal or CLI
The table recommends resetting a VM password through the portal or CLI. This changes credentials and can affect account access.
RISK-012 Средний
workflows/vm-troubleshooter/references/credential-auth-errors.md:54
System reconnaissance
--command-id RunShellScript --scripts "passwd -u <username>"
The command remotely unlocks a Linux account with passwd. This changes authentication state and should require explicit user confirmation and target verification.
RISK-013 Средний
workflows/vm-troubleshooter/references/network-connectivity.md:57
System reconnaissance
--command-id RunShellScript --scripts "ip link set eth0 up && dhclient eth0"
The remote command brings eth0 up and renews DHCP configuration. It mutates guest networking and could disrupt connectivity if the interface name or configuration is wrong.
RISK-014 Низкий
workflows/vm-creator/examples/terraform/README.md:14
Network reconnaissance
MY_IP=$(curl -s ifconfig.me)/32 # your current public IP, locked to /32
The command discovers the caller public IP through ifconfig.me. The purpose is narrow NSG scoping, but the lookup still discloses client metadata to a third party.
RISK-015 Низкий
workflows/vm-creator/references/depth-probe/beginner.md:16
Network reconnaissance
- **NSG:** create new, allow SSH 22 (Linux) or RDP 3389 (Windows) from **the user's current public I
The workflow explicitly instructs using ifconfig.me or an equivalent service to discover the user's public IP. This discloses client network metadata to a third party.
RISK-016 Низкий
workflows/vm-creator/references/depth-probe/networking-deep.md:9
Network reconnaissance
| NSG | "Inbound rules: default (SSH/RDP from your IP) or paste a rule set?" | Restrict source to us
The workflow explicitly instructs curl to query ifconfig.me for the user's public IP. This sends client network metadata to a third-party service.

Меры по устранению

В ходе этого аудита были зафиксированы рекомендуемые исправления. Их применение является ответственностью сопровождающего.

  1. FIX-001
    Высокий
    User-controlled GitHub delivery values enter shell commands without complete validation.
    Allowlist repository and branch formats, resolve target paths inside the checkout, and pass every value as a structured argument instead of shell interpolation.
  2. FIX-002
    Высокий
    Public IP detection failure can produce an unrestricted SSH or RDP source.
    Fail closed when detection fails. Require the user to provide and confirm a trusted CIDR before generating or applying any management-port rule.
  3. FIX-003
    Высокий
    Remote remediation and subscription-wide EMM operations can change security controls or incur costs.
    Show the exact target, commands, scope, and expected impact, then require explicit confirmation immediately before every state-changing operation.
  4. FIX-004
    Высокий
    SSH recovery guidance removes a stored host key without verifying the replacement.
    Retrieve the expected host fingerprint through a trusted Azure channel and compare it before removing or replacing any known_hosts entry.
  5. FIX-005
    Высокий
    Windows administrator passwords are placed directly in command-line arguments.
    Use a secure prompt, protected parameter file, Key Vault reference, or managed identity flow that keeps passwords out of history and process arguments.
  6. FIX-006
    Низкий
    Public IP discovery depends on a third-party ifconfig.me request.
    Ask before the lookup and offer a manual CIDR value or an Azure-owned discovery method that avoids disclosing metadata to a third party.

Экспертные доказательства

Неизменяемая идентификация субъекта, метаданные сканера, отклонённые совпадения и доказательства на уровне источника.

Субъект артефакта

Коммит Marketplace
ebdfe608f5de2b66ff37ab4af12af8ac4f5e8006
Хеш содержимого
3880c4bec643e54768b13d5dfc45a119ebc11277dfe643b97d71432698483d78
Хеш дерева
963ccd905d545835bb9bd578b3b394c7924d300515d3c233c79f9da3fcffbd4b
Путь Skill
skills/microsoft/azure-compute
Хеш данных аудита
fcba76708187325019da360dd5ce8d15

Метаданные анализа

Модель аудита: codex

Состояние анализа: Завершено

Область действия ограничена зафиксированными файлами, строками, методами и доказательствами. Выполнение во время работы или в песочнице не заявляется.

Проверить и экспортировать

Отчёт JSON Подписанное подтверждение аудита CITATION.cff SARIF 2.1.0 Подписанный манифест установки Источник

Манифест и lockfile привязывают артефакты установки к криптографическим хешам. Это заявление о целостности не связано с оценкой безопасности.

Аттестация аудита: active