Vulnerabilidade Crítica na Microsoft Entra ID

Uma equipe de especialistas de segurança descobriu uma brecha crítica no sistema de acesso Microsoft Entra ID, que poderia permitir o acesso de cibercriminosos a qualquer inquilino virtual sem deixar rastros. Essa vulnerabilidade foi identificada como CVE-2025-55241 e foi classificada com severidade 10/10, considerada crítica.

A brecha era composta por dois elementos principais: um serviço de legado conhecido como Tokens de Autor e um bug de Elevação de Privilégios. Os Tokens de Autor são tokens de autenticação não documentados e não assinados usados por serviços da Microsoft para se passar por usuários entre os locatários do serviço. Eles são emitidos por um sistema de legado chamado Serviço de Controle de Acesso (ACS) e foram criados originalmente para autenticação de serviço-a-serviço (S2S).

Como a Vulnerabilidade Funcionava

Os Tokens de Autor não são verificados por controles de segurança comuns, não precisam de login e são válidos por 24 horas. Isso permitia que o acesso não-autorizado fosse obtido sem detecção. Um pesquisador de segurança, Dirk-Jan Mollema, testou a vulnerabilidade ao gerar tokens usando IDs de inquilino e identificadores de usuário, informações publicamente disponibilizadas na internet.

Com isso, ele conseguiu acessar dados sensíveis e modificar configurações em ambientes de outras organizações, como criar usuários, mudar senhas e mais, sem gerar qualquer log à vítima. A vulnerabilidade estava relacionada à API Azure AD Graph, considerada obsoleta e que está sendo descontinuada aos poucos pela Microsoft.

Consequências e Correção

Embora não tenham sido registrados casos de invasão através da vulnerabilidade, Mollema provou que seria possível explorá-la para fins maliciosos. O especialista reportou o problema à Microsoft, que admitiu a brecha em meados do último mês de julho e a corrigiu com patches duas semanas depois.

A falha foi completamente modificada no último dia 4 de setembro. Tanto a API Azure AD Graph quanto os tokens usados estão sendo descontinuados pela Microsoft. Essa vulnerabilidade destaca a importância da segurança cibernética e a necessidade de manter os sistemas atualizados e protegidos contra ameaças.

• A vulnerabilidade permitia o acesso a qualquer inquilino virtual sem deixar rastros.
• Os Tokens de Autor não são verificados por controles de segurança comuns.
• A API Azure AD Graph está sendo descontinuada pela Microsoft.

Este conteúdo pode conter links de compra.

Fonte: link