Microsoft: Διορθώθηκε κρίσιμο κενό ασφαλείας στο Entra ID που δεχόταν ενεργές επιθέσεις

Η Microsoft ↗ 1.54% αποκάλυψε την Πέμπτη μια ευπάθεια μέγιστης σοβαρότητας στην υπηρεσία cloud ταυτοποίησης Entra ID, την οποία εκμεταλλεύονταν ήδη επιτιθέμενοι, αν και η εταιρεία δηλώνει ότι έχει αντιμετωπίσει πλήρως το πρόβλημα σε επίπεδο διακομιστή και δεν απαιτείται καμία ενέργεια από την πλευρά των πελατών.

Ένα απόλυτο 10

Η ευπάθεια, η οποία καταγράφεται ως CVE-2026-69836, φέρει την υψηλότερη δυνατή βαθμολογία CVSS 10.0 και προέρχεται από μη ασφαλή αποσειριοποίηση μη αξιόπιστων δεδομένων. Ένας μη εξουσιοδοτημένος επιτιθέμενος θα μπορούσε να εκμεταλλευτεί το σφάλμα απομακρυσμένα μέσω δικτύου για να εκτελέσει κώδικα στο Entra ID: την υπηρεσία που ήταν παλαιότερα γνωστή ως Azure Active Directory και η οποία διαχειρίζεται τον έλεγχο ταυτότητας και πρόσβασης για το Microsoft 365, το Azure και συνδεδεμένες εφαρμογές τρίτων.helpnetsecurity+1

«Η αποσειριοποίηση μη αξιόπιστων δεδομένων στο Microsoft Entra ID επιτρέπει σε έναν μη εξουσιοδοτημένο επιτιθέμενο να εκτελέσει κώδικα μέσω δικτύου», ανέφερε η Microsoft στην οδηγία ασφαλείας που δημοσίευσε την Πέμπτη.bleepingcomputer

Το σφάλμα δεν απαιτεί προνόμια, ούτε αλληλεπίδραση με τον χρήστη, και παρουσιάζει χαμηλή πολυπλοκότητα επίθεσης, παράγοντες που μαζί εξηγούν την απόλυτη βαθμολογία σοβαρότητάς του. Η Microsoft απέδωσε τα εύσημα στον κύριο μηχανικό ασφαλείας Robert Fitzpatrick για την ανακάλυψη και την αναφορά του ζητήματος.theregister+2

Ελάχιστες λεπτομέρειες για την εκμετάλλευση

Η Microsoft επιβεβαίωσε ότι εντοπίστηκε εκμετάλλευση της ευπάθειας, αλλά δεν έχει μοιραστεί σχεδόν καμία λεπτομέρεια σχετικά με τις επιθέσεις. Η εταιρεία δεν έχει αποκαλύψει ποιος βρισκόταν πίσω από την εκμετάλλευση, πότε ξεκίνησε, πόσοι οργανισμοί επηρεάστηκαν ή τι κατάφεραν να κάνουν οι επιτιθέμενοι αφού απέκτησαν πρόσβαση.theregister+1

Σύμφωνα με το BleepingComputer, η Microsoft αναφέρει ότι ο κώδικας εκμετάλλευσης για την ευπάθεια δεν είναι ακόμη δημόσια διαθέσιμος, ενώ η εταιρεία δεν ανταποκρίθηκε σε αιτήματα για περαιτέρω σχολιασμό.bleepingcomputer

Δεν απαιτείται καμία ενέργεια από τους πελάτες

Καθώς το Entra ID είναι μια υπηρεσία cloud που διαχειρίζεται η ίδια η Microsoft, η εταιρεία ήταν σε θέση να διορθώσει απευθείας την ευάλωτη υποδομή, αντί να εκδώσει μια ενημέρωση για εγκατάσταση από τους πελάτες. «Αυτή η ευπάθεια έχει ήδη αντιμετωπιστεί πλήρως από τη Microsoft. Δεν απαιτείται καμία ενέργεια από τους χρήστες αυτής της υπηρεσίας. Ο σκοπός αυτού του CVE είναι να παρέχει περαιτέρω διαφάνεια», δήλωσε η εταιρεία.theregister+1

Η αποκάλυψη έγινε παράλληλα με τις διορθώσεις για άλλες τέσσερις ευπάθειες μέγιστης σοβαρότητας που επηρεάζουν το Azure Arc και το Exchange Online, σύμφωνα με το BleepingComputer. Οι πελάτες μπορεί να θεωρήσουν ευπρόσδεκτη τη διαφάνεια, αλλά όπως σημείωσε το The Register, οι οργανισμοί θα εξακολουθούν να θέλουν να μάθουν ποιος εκμεταλλεύτηκε το σφάλμα, σε τι απέκτησε πρόσβαση και για πόσο καιρό συνεχιζόταν η δραστηριότητα προτού η Microsoft τη σταματήσει.bleepingcomputer+1