Microsoft vá lỗ hổng cho phép chiếm quyền tài khoản trên Azure AD

[WhiteHat Team]

Microsoft vừa giải quyết lỗ hổng xác thực trong Azure Active Directory (Azure AD - dịch vụ quản lý truy cập và nhận dạng dựa trên đám mây của Microsoft). Lỗ hổng cho phép kẻ tấn công leo thang đặc quyền và có khả năng chiếm hoàn toàn tài khoản mục tiêu.

​

Được gọi là nOAuth, đây là một lỗ hổng triển khai xác thực ảnh hưởng đến các ứng dụng OAuth phục vụ đa người dùng (multi-tenant) có sử dụng Azure AD của Microsoft.

Kẻ tấn công chỉ cần thay đổi email trên tài khoản quản trị Azure AD thành địa chỉ email của nạn nhân và sử dụng tính năng "Đăng nhập bằng Microsoft" để phân quyền trên ứng dụng hoặc trang web tồn tại lỗ hổng.

Nếu ứng dụng sử dụng email làm căn cứ để phân quyền hoặc phục vụ các mục đích nhận dạng người dùng khác, hacker có thể lợi dụng để thực hiện tấn công leo thang đặc quyền.

Kỹ thuật này cũng có thể được sử dụng ngay cả khi nạn nhân không có tài khoản Microsoft vì Azure AD không yêu cầu xác thực khi thay đổi email.

Luồng tấn công nOAuth​

Sau khi đăng nhập thành công, kẻ tấn công sẽ có một trường mở (open field) tùy thuộc vào bản chất của ứng dụng hoặc trang web mà chúng đã kiểm soát, từ đó duy trì sự tồn tại, lọc dữ liệu, hoặc tìm cách xâm nhập vào các máy ngang hàng trong hệ thống.

Microsoft đã phát hành các biện pháp giảm thiểu và đưa ra khuyến cáo:

• Không bao giờ sử dụng email cho mục đích phân quyền để tránh trở thành nạn nhân của các cuộc tấn công leo thang đặc quyền.
• Các nhà phát triển nên đánh giá kỹ quy trình ủy quyền của ứng dụng và tuân thủ các nguyên tắc để ngăn chặn truy cập trái phép.
• Khi sử dụng nền tảng nhận dạng của Microsoft, áp dụng các biện pháp bảo mật được khuyến cáo tại đây cho biện pháp xác thực bằng token.

Theo Bleeping Computer​