Microsoft 的 Entra ID 漏洞可能是灾难性的

在过去十年中，随着世界各地的企业将其数字基础设施从自托管服务器转移到云中，他们受益于 Microsoft 等主要云提供商的标准化内置安全功能。但是，由于这些系统依赖如此之多，如果出现问题，可能会产生大规模的潜在灾难性后果。一个很好的例子：安全研究员 Dirk-jan Mollema 最近偶然发现了 Microsoft Azure 身份和访问管理平台中的两个漏洞，这些漏洞可能被用于对所有 Azure 客户帐户进行灾难性接管。

该系统称为 Entra ID，存储每个 Azure 云客户的用户标识、登录访问控制、应用程序和订阅管理工具。Mollema 深入研究了 Entra ID 安全性，并发表了多项关于系统弱点的研究，该系统以前称为 Azure Active Directory。但是，在准备 7 月在拉斯维加斯举行的 Black Hat 安全会议上发表演讲时，Mollema 发现了两个漏洞，他意识到这些漏洞可用于获得全局管理员权限（本质上是上帝模式），并破坏每个 Entra ID 目录，或所谓的“租户”。Mollema 表示，这将暴露世界上几乎所有 Entra ID 租户，除了政府云基础设施。

“我只是盯着屏幕。我当时想，'不，这不应该真的发生，'“经营荷兰网络安全公司 Outsider Security 并专门从事云安全的 Mollema 说。“这很糟糕。我想说，尽管情况很糟糕。

“从我自己的租户——我的测试租户甚至是试用租户——你可以请求这些令牌，你基本上可以冒充任何其他租户中的其他人，”Mollema 补充道。“这意味着您可以修改其他人的配置，在该租户中创建新用户和管理员用户，并执行任何您想做的事情。”

鉴于漏洞的严重性，Mollema 于 7 月 14 日向 Microsoft 安全响应中心披露了他的发现，也就是他发现这些漏洞的同一天。Microsoft 当天开始调查调查结果，并于 7 月 17 日在全球发布了修复程序。该公司向 Mollema 证实，该问题已于 7 月 23 日得到解决，并于 8 月实施了额外措施。Microsoft 于 9 月 4 日发布了针对该漏洞的 CVE。

“作为我们安全未来计划的一部分，我们迅速缓解了新发现的问题，并加快了正在进行的补救工作，以停用这种遗留协议的使用，”Microsoft 安全响应中心工程副总裁 Tom Gallagher 在一份声明中告诉《连线》杂志。“我们在易受攻击的验证逻辑中实施了代码更改，测试了修复程序，并将其应用于我们的云生态系统。”

加拉格尔说，Microsoft 在调查过程中发现该漏洞“没有滥用的证据”。

这两个漏洞都与仍在 Entra ID 中运行的遗留系统有关。第一个涉及 Mollema 发现的一种称为 Actor 令牌的 Azure 身份验证令牌，这些令牌由一种名为“访问控制服务”的晦涩难懂的 Azure 机制颁发。Actor 令牌具有一些特殊的系统属性，Mollema 意识到这些属性与另一个漏洞结合使用时可能对攻击者有用。另一个错误是历史悠久的 Azure Active Directory 应用程序编程接口中的一个主要缺陷，称为“Graph”，该接口用于促进对存储在 Microsoft 365 中的数据的访问。Microsoft 正在停用 Azure Active Directory Graph，并将用户过渡到其继任者 Microsoft Graph，后者专为 Entra ID 设计。该缺陷与 Azure AD Graph 无法正确验证哪个 Azure 租户发出访问请求有关，该请求可以纵，以便 API 接受来自其他租户的执行组件令牌，该请求本应被拒绝。

“Microsoft 围绕条件访问和日志等身份构建了安全控制，但这种内部印象令牌机制绕过了所有这些，”安全公司 Zenity 的首席技术官 Michael Bargury 说。“这是您可以在身份提供商中找到的最具影响力的漏洞，它有效地允许任何客户的任何租户受到完全损害。”

如果该漏洞被恶意黑客发现或落入恶意黑客手中，其后果可能是毁灭性的。

“我们不需要猜测可能产生的影响;两年前，我们看到了 Storm-0558 破坏了签名密钥时发生的事情，该密钥允许他们以任何租户的任何用户身份登录，“Bargury 说。

虽然具体的技术细节有所不同，但 Microsoft 于 2023 年 7 月透露，名为 Storm-0558 的中国网络间谍组织窃取了一个加密密钥，该密钥允许他们生成身份验证令牌并访问基于云的 Outlook 电子邮件系统，包括属于美国政府部门的电子邮件系统。

经过几个月的对 Storm-0558 攻击的事后分析，Microsoft 发现了几个错误，导致中国组织越过了云防御。安全事件是当时 Microsoft 的一系列问题之一。这些促使该公司启动了“安全未来计划”，该计划扩大了对云安全系统的保护，并为响应漏洞披露和发布补丁设定了更积极的目标。

Mollema 说，Microsoft 对他的发现反应非常迅速，并且似乎抓住了他们的紧迫性。但他强调，他的发现可能会让恶意黑客比 2023 年事件走得更远。

“有了这个漏洞，你可以将自己添加为租户中的最高特权管理员，这样你就拥有完全的访问权限，”Mollema 说。任何 Microsoft 服务“你使用 EntraID 登录，无论是 Azure、SharePoint，还是 Exchange——都可能因此而受到损害。