„Microsoft“ ištaisė maksimalaus 10 balų pavojingumo „Entra ID“ klaidą, kuria jau buvo naudojamasi

Ketvirtadienį bendrovė „Microsoft“ ↗ 1.54% atskleidė informaciją apie maksimalaus pavojingumo pažeidžiamumą savo debesijos tapatybės nustatymo paslaugoje „Entra ID“, kuriuo užpuolikai jau buvo pradėję naudotis. Vis dėlto įmonė teigia, kad visiškai pašalino šią klaidą serverio pusėje, todėl klientams jokių veiksmų imtis nereikia.

Maksimalus 10 balų įvertinimas

Šis pažeidžiamumas, žymimas kodu CVE-2026-69836, turi aukščiausią įmanomą CVSS įvertinimą (10,0 balo) ir kyla dėl nesaugios nepatikimų duomenų deserializacijos. Neautorizuotas užpuolikas galėjo pasinaudoti šia klaida nuotoliniu būdu per tinklą ir paleisti kodą „Entra ID“ sistemoje: ši paslauga, anksčiau žinoma kaip „Azure Active Directory“, valdo „Microsoft 365“, „Azure“ ir prijungtų trečiųjų šalių programų autentifikavimą bei prieigos kontrolę.helpnetsecurity+1

„Nepatikimų duomenų deserializacija „Microsoft Entra ID“ paslaugoje leidžia neautorizuotam užpuolikui vykdyti kodą per tinklą“, – teigiama ketvirtadienį paskelbtame „Microsoft“ saugumo pranešime.bleepingcomputer

Šiai klaidai išnaudoti nereikia jokių privilegijų ar naudotojo sąveikos, o pats atakos sudėtingumas yra mažas: šie veiksniai ir lėmė maksimalų pavojingumo įvertinimą. „Microsoft“ už šios problemos aptikimą ir pranešimą apie ją padėkojo vyriausiajam saugumo inžinieriui Robertui Fitzpatrickui.theregister+2

Informacijos apie išnaudojimą vis dar mažai

„Microsoft“ patvirtino, kad buvo užfiksuotas šio pažeidžiamumo išnaudojimas realiame pasaulyje, tačiau nepateikė beveik jokių detalių apie šias atakas. Bendrovė neatskleidė, kas organizavo šias atakas, kada jos prasidėjo, kiek organizacijų nukentėjo ir ką užpuolikai nuveikė gavę prieigą.theregister+1

Kaip praneša „BleepingComputer“, „Microsoft“ teigia, kad šio pažeidžiamumo išnaudojimo kodas dar nėra viešai prieinamas, o pati bendrovė neatsakė į prašymus pateikti papildomų komentarų.bleepingcomputer

Klientams jokių veiksmų imtis nereikia

Kadangi „Entra ID“ yra „Microsoft“ valdoma debesijos paslauga, bendrovė galėjo tiesiogiai atnaujinti pažeidžiamą infrastruktūrą, užuot leidusi atnaujinimą, kurį turėtų įsidiegti patys klientai. „Šį pažeidžiamumą „Microsoft“ jau visiškai pašalino. Šios paslaugos naudotojams nereikia imtis jokių veiksmų. Šio CVE tikslas yra užtikrinti didesnį skaidrumą“, – nurodė bendrovė.theregister+1

Pasak „BleepingComputer“, ši informacija buvo atskleista kartu su pataisymais, skirtais dar keturiems maksimalaus pavojingumo pažeidžiamumams, susijusiems su „Azure Arc“ ir „Exchange Online“. Klientai tikriausiai palankiai įvertins tokį skaidrumą, tačiau, kaip pastebėjo „The Register“, organizacijos vis tiek norės sužinoti, kas pasinaudojo šia klaida, kokius duomenis pasiekė ir kiek laiko ši veikla tęsėsi, kol „Microsoft“ ją sustabdė.bleepingcomputer+1