Microsoft załatał krytyczną lukę w zabezpieczeniach (CVE-2025-55241, CVSS 10,0) w Entra ID (dawniej Azure Active Directory), która mogła pozwolić atakującym podszywać się pod dowolnego użytkownika — w tym administratorów globalnych — we wszystkich dzierżawach na całym świecie.
🔍 Co się stało?
- Zgłoszona 14 lipca 2025 r. przez badacza Dirk-jana Mollemę
- Przyczyna źródłowa:
- Tokeny aktora typu usługa–usługa wystawiane przez Access Control Service (ACS)
- Starszy interfejs Azure AD Graph API nie weryfikował dzierżawy, z której pochodził token
- Wykorzystanie luki mogło umożliwić:
- Dostęp między dzierżawami bez pozostawiania śladów w logach
- Wykradanie informacji o użytkownikach, ról, ustawień dzierżawy, informacji o urządzeniach i kluczy BitLocker
- Podszywanie się pod administratorów globalnych → tworzenie kont, eskalację uprawnień i przejmowanie zasobów Azure
📌 Dlaczego to ważne
- Atakujący mogli ominąć MFA, dostęp warunkowy i monitoring
- Umożliwiałoby to ukryty dostęp do wrażliwych zasobów firmowych i chmurowych
- Skutek: pełne przejęcie dzierżawy, obejmujące SharePoint, Exchange i subskrypcje Azure
✅ Status
- Załatano 17 lipca 2025 r., nie jest wymagane żadne działanie ze strony klientów
- Starszy interfejs Azure AD Graph API został całkowicie wycofany 31 sierpnia 2025 r.
- Klientów wzywa się do migracji do Microsoft Graph
💡 Wnioski
Ta luka uwypukla ryzyko związane ze starszymi interfejsami API i błędami konfiguracji chmury. Nawet przy zaawansowanej ochronie słabości w walidacji tokenów i dostępie między dzierżawami mogą narażać przedsiębiorstwa na ciche, pełnoskalowe przejęcia.
W Alcaeus Services pomagamy organizacjom audytować tożsamość w chmurze, wymuszać silny dostęp warunkowy i wykrywać ukryte próby eskalacji uprawnień w środowiskach Microsoft i wielochmurowych.
