Комбинация от остарели компоненти и сериозна уязвимост е можела да предостави на атакуващи пълен достъп до Microsoft Entra ID (бивш Azure Active Directory) на всяка компания по света.

Уязвимостта, регистрирана като CVE-2025-55241, е открита от изследователя по сигурността Дирк-ян Молема (Outsider Security) и включва използването на т.нар. actor tokens – недокументирани токени, съчетани с дефект в Azure AD Graph API.

Какво позволяваше атаката

Злонамерено лице можеше да:

• имитира всеки потребител в даден Entra ID tenant, включително глобален администратор;

• получи пълен достъп до всички приложения и услуги, свързани с идентичността – Microsoft 365, Salesforce, Dropbox, Google, Amazon, SAP и др.;

• извършва действия без почти никакви следи в логовете, освен самите му операции.

Actor токените са издавани от наследената услуга Access Control Service, използвана за автентикация при SharePoint и Exchange. Те са били несигурни по дизайн: неподписани, с валидност 24 часа и невъзможност за отнемане. Допълнително, използването им изцяло заобикаляло правилата за Conditional Access.

Експлоатацията на уязвимостта

Молема установява, че чрез промяна на tenant ID и използване на валидно потребителско ID от друга организация, Azure AD Graph API е приемал actor токена като валиден и връщал чувствителни данни.

Това позволявало на атакуващия да изгради фалшиви токени, да се представи за глобален администратор и да извършва пълен контрол върху целия tenant – създаване/изтриване на акаунти, смяна на пароли, добавяне на нови администратори.

Най-опасното е, че почти всички стъпки от атаката са невидими за жертвата, тъй като логове се генерират едва при конкретни действия в целевия tenant.

Реакцията на Microsoft

Microsoft вече е започнал процес по извеждане от употреба на Azure AD Graph API, като от септември 2025 г. услугата ще бъде окончателно спряна.

След като Молема съобщава проблема на 14 юли, Microsoft реагира в рамките на девет дни и на 4 септември пуска официален пач за CVE-2025-55241, описана като критична уязвимост за ескалация на привилегии в Azure Entra.

Случаят подчертава колко рискови могат да бъдат наследени механизми за автентикация и значението на бързото премахване на остарели API-та. Ако не беше открито навреме, тази комбинация от слабости можеше да компрометира идентичностите на организации по целия свят.