Μια κρίσιμη ευπάθεια στο Microsoft Entra ID θα μπορούσε να επιτρέψει σε έναν επιτιθέμενο να αποκτήσει πλήρη διαχειριστικό έλεγχο σε οποιονδήποτε tenant στην παγκόσμια υποδομή cloud της Microsoft. Το σφάλμα, το οποίο πλέον έχει διορθωθεί, ανακαλύφθηκε τον Ιούλιο του 2025 και έχει κωδική ονομασία CVE-2025-55241.
Δείτε επίσης: Η Microsoft επιβεβαιώνει πάνω από 900 ευπάθειες XSS στις υπηρεσίες IT
Η ευπάθεια στο Microsoft Entra ID, που περιγράφεται από τον ερευνητή ως η πιο σημαντική που πιθανότατα θα βρει ποτέ, εντοπίστηκε σε έναν συνδυασμό ενός παλαιού μηχανισμού αυθεντικοποίησης και ενός σφάλματος επικύρωσης API. Σύμφωνα με την αναλυτική περιγραφή του Dirk-jan Mollema, το πρόβλημα επέτρεπε σε έναν επιτιθέμενο να χρησιμοποιήσει έναν ειδικό τύπο token από τον δικό του tenant για να υποδυθεί οποιονδήποτε χρήστη, συμπεριλαμβανομένων των Global Administrators, σε οποιονδήποτε άλλο tenant πελάτη.
Τα Actor Tokens είναι μη τεκμηριωμένα tokens εσωτερικής χρήσης που οι υπηρεσίες της Microsoft χρησιμοποιούν για να επικοινωνούν μεταξύ τους εκ μέρους ενός χρήστη. Αυτά τα ισχυρά tokens δεν υπόκεινται σε τυπικές πολιτικές ασφαλείας όπως το Conditional Access. Μια κρίσιμη παράλειψη στο παλαιότερο Azure AD Graph API απέτυχε να επικυρώσει σωστά ότι ένα εισερχόμενο Actor token προερχόταν από τον ίδιο tenant που προσπαθούσε να αποκτήσει πρόσβαση. Αυτή η αποτυχία επικύρωσης σήμαινε ότι ένα token που ζητήθηκε σε ένα περιβάλλον εργαστηρίου του επιτιθέμενου θα μπορούσε να χρησιμοποιηθεί για να στοχεύσει και να αποκτήσει πρόσβαση σε έναν διαφορετικό tenant οργανισμού.
Ένας επιτιθέμενος θα μπορούσε να υποδυθεί έναν Global Admin και να αποκτήσει απεριόριστη πρόσβαση για να τροποποιήσει τις ρυθμίσεις του tenant, να δημιουργήσει ή να αναλάβει ταυτότητες και να παραχωρήσει οποιαδήποτε άδεια. Αυτός ο έλεγχος θα επεκτεινόταν σε όλες τις συνδεδεμένες υπηρεσίες Microsoft 365, όπως το Exchange Online και το SharePoint Online, καθώς και σε οποιουσδήποτε πόρους φιλοξενούνται στο Azure.
Δείτε ακόμα: Η Microsoft προειδοποιεί για τη λήξη υποστήριξης των Windows 11 23H2
Η φύση της ευπάθειας του Microsoft Entra ID την καθιστούσε εξαιρετικά επικίνδυνη λόγω της αθόρυβης λειτουργίας της. Η αίτηση και η χρήση των κακόβουλων tokens δεν παρήγαγαν καθόλου αρχεία καταγραφής στον tenant του θύματος, πράγμα που σημαίνει ότι ένας επιτιθέμενος θα μπορούσε να εξάγει ευαίσθητες πληροφορίες χωρίς να αφήσει ίχνος. Αυτό περιλαμβάνει πληροφορίες χρηστών και προσωπικά δεδομένα, συμμετοχές σε ομάδες και διαχειριστικούς ρόλους, ρυθμίσεις tenant και πολιτικές ασφαλείας, δεδομένα εφαρμογών και Service Principal, καθώς και πληροφορίες συσκευών και κλειδιά ανάκτησης BitLocker.
Ενώ η ανάγνωση δεδομένων ήταν αθόρυβη, η τροποποίηση αντικειμένων (όπως η προσθήκη ενός νέου διαχειριστή) θα δημιουργούσε αρχεία καταγραφής ελέγχου. Ωστόσο, αυτά τα αρχεία θα έδειχναν συγκεχυμένα το όνομα χρήστη του υποδυόμενου διαχειριστή αλλά με το όνομα εμφάνισης μιας υπηρεσίας της Microsoft όπως το “Office 365 Exchange Online“, το οποίο θα μπορούσε εύκολα να παραβλεφθεί χωρίς συγκεκριμένη γνώση της επίθεσης, ανέφερε ο Dirk-jan Mollema.
Για να εκτελέσει την επίθεση, ένας αντίπαλος θα χρειαζόταν μόνο το δημόσιο tenant ID του στόχου και ένα έγκυρο εσωτερικό αναγνωριστικό χρήστη (netId). Ο ερευνητής σημείωσε ότι αυτά τα netIds θα μπορούσαν να ανακαλυφθούν με brute-force ή, πιο ανησυχητικά, με “hopping” μεταξύ tenants που έχουν εμπιστοσύνη χρήστη επισκέπτη (B2B), επιτρέποντας ενδεχομένως μια εκθετική εξάπλωση της παραβίασης στο οικοσύστημα του cloud.
Ο ερευνητής ανέφερε την ευπάθεια στο Microsoft Security Response Center (MSRC) στις 14 Ιουλίου 2025, την ίδια ημέρα που ανακαλύφθηκε. Η Microsoft αναγνώρισε τη σοβαρότητα και ανέπτυξε μια παγκόσμια διόρθωση μέχρι τις 17 Ιουλίου 2025. Περαιτέρω μετριασμοί κυκλοφόρησαν τον Αύγουστο για να αποτρέψουν τις εφαρμογές από το να ζητούν αυτούς τους τύπους Actor tokens για το Azure AD Graph API.
Δείτε επίσης: Η Microsoft αποφεύγει το πρόστιμο της ΕΕ για το bundling του Teams
Σύμφωνα με την έρευνα της Microsoft για την εσωτερική της τηλεμετρία, δεν βρέθηκαν αποδείξεις ότι αυτή η ευπάθεια έχει καταχραστεί στην άγρια φύση. Ο ερευνητής έχει παράσχει έναν κανόνα ανίχνευσης Kusto Query Language (KQL) για οργανισμούς ώστε να αναζητήσουν τυχόν πιθανά σημάδια παραβίασης στα δικά τους περιβάλλοντα.
🔒 Προστατέψτε την ιδιωτικότητά σας με Proton VPN
Ελβετικό VPN από τους δημιουργούς του Proton Mail — αυστηρή πολιτική no-logs, ισχυρή κρυπτογράφηση και ενσωματωμένο NetShield που μπλοκάρει διαφημίσεις, trackers & malware.
- ✔ No-logs, με έδρα την Ελβετία (εκτός 14-Eyes)
- ✔ NetShield: φραγή διαφημίσεων, trackers & κακόβουλων domains
- ✔ Καλύπτει όλες τις συσκευές — δωρεάν έκδοση διαθέσιμη
Ο σύνδεσμος είναι συνεργατικός (affiliate) — το SecNews ενδέχεται να λάβει προμήθεια χωρίς επιπλέον κόστος για εσάς. Δεν επηρεάζει την ανεξαρτησία της αρθρογραφίας μας.
