Microsoft-ը փակել է Entra ID-ի 10 բալանոց խոցելիությունը, որն արդեն շահագործվում էր

Microsoft ↘ 0.24% ընկերությունը հինգշաբթի օրը հայտնել է իր Entra ID ամպային նույնականացման ծառայությունում առավելագույն վտանգավորության խոցելիության մասին, որն արդեն իսկ շահագործվում էր հարձակվողների կողմից: Այնուամենայնիվ, ընկերությունը նշում է, որ խնդիրն ամբողջությամբ լուծվել է սերվերի կողմից, և հաճախորդներից որևէ գործողություն չի պահանջվում:

Բացարձակ 10 միավոր

CVE-2026-69836 նշագրմամբ խոցելիությունն ունի CVSS սանդղակով հնարավոր ամենաբարձր՝ 10.0 միավորը և առաջանում է անվստահելի տվյալների ոչ անվտանգ ապաապակոդավորման (deserialization) պատճառով: Չնույնականացված հարձակվողը կարող էր հեռավար կերպով ցանցի միջոցով օգտագործել այս թերությունը Entra ID-ում կոդ գործարկելու համար. այս ծառայությունը նախկինում հայտնի էր որպես Azure Active Directory և ապահովում է նույնականացումն ու հասանելիության վերահսկումը Microsoft 365-ի, Azure-ի և կապակցված երրորդ կողմի հավելվածների համար:helpnetsecurity+1

«Microsoft Entra ID-ում անվստահելի տվյալների ապաապակոդավորումը թույլ է տալիս չարտոնված հարձակվողին կոդ գործարկել ցանցի միջոցով», հայտնել է Microsoft-ը հինգշաբթի օրը հրապարակված անվտանգության տեղեկագրում:bleepingcomputer

Թերությունը չի պահանջում որևէ արտոնություն կամ օգտատիրոջ մասնակցություն և ունի հարձակման ցածր բարդություն: Այս գործոնները միասին ապահովում են դրա առավելագույն վտանգավորության վարկանիշը: Microsoft-ը շնորհակալություն է հայտնել անվտանգության առաջատար ինժեներ Ռոբերտ Ֆիցպատրիկին խնդիրը հայտնաբերելու և զեկուցելու համար:theregister+2

Շահագործման մանրամասները դեռևս սակավ են

Microsoft-ը հաստատել է, որ իրական պայմաններում շահագործում է հայտնաբերվել, սակայն հարձակումների մասին գրեթե ոչ մի մանրամասն չի հայտնել: Ընկերությունը չի բացահայտել, թե ով է կանգնած եղել այդ շահագործման հետևում, երբ է այն սկսվել, քանի կազմակերպություն է տուժել կամ ինչ են հասցրել անել հարձակվողները հասանելիություն ստանալուց հետո:theregister+1

Ըստ BleepingComputer-ի՝ Microsoft-ը հայտարարել է, որ խոցելիության շահագործման կոդը դեռևս հանրությանը հասանելի չէ, և ընկերությունը չի պատասխանել լրացուցիչ մեկնաբանությունների վերաբերյալ հարցումներին:bleepingcomputer

Օգտատերերից որևէ գործողություն չի պահանջվում

Քանի որ Entra ID-ն Microsoft-ի կողմից կառավարվող ամպային ծառայություն է, ընկերությունը կարողացել է անմիջապես թարմացնել խոցելի ենթակառուցվածքը, այլ ոչ թե թողարկել թարմացում, որը հաճախորդները պետք է տեղադրեին: «Այս խոցելիությունն արդեն ամբողջությամբ վերացվել է Microsoft-ի կողմից: Այս ծառայության օգտատերերից որևէ գործողություն չի պահանջվում: Այս CVE-ի նպատակն է ապահովել լրացուցիչ թափանցիկություն», — նշել է ընկերությունը:theregister+1

Ըստ BleepingComputer-ի՝ այս տեղեկատվության բացահայտումը տեղի է ունեցել Azure Arc-ի և Exchange Online-ի վրա ազդող առավելագույն վտանգավորության չորս այլ թերությունների վերացման հետ միաժամանակ: Հաճախորդները կարող են ողջունել այս թափանցիկությունը, սակայն, ինչպես նշում է The Register-ը, կազմակերպությունները դեռ կցանկանան իմանալ, թե ով է շահագործել խոցելիությունը, ինչին են նրանք հասանելիություն ստացել և որքան ժամանակ է տևել այդ գործունեությունը նախքան Microsoft-ի կողմից այն կասեցնելը:bleepingcomputer+1