微软Azure Active Directory的安全漏洞

关键要点

• 微软Azure Active Directory中存在被称为“nOAuth”的漏洞，可能导致账号被完全接管。
• 此漏洞源于配置错误，可以修改Azure AD中“联系信息”的邮箱属性。
• 攻击者可以滥用“用Microsoft登录”的功能进行账号劫持，甚至在受害者没有微软账号的情况下也能完全控制其账号。
• 微软已将此漏洞视为“不安全的反模式”，并已通知多租户应用程序。

根据的报告，威胁行为者可能会利用微软Azure ActiveDirectory中的一个漏洞，此漏洞被称为“nOAuth”，来实现完整的账号接管。此认证实施错误由Descope识别并报告，源于配置上的失误，允许在AzureAD的“联系信息”中修改邮箱属性，同时还可滥用“用Microsoft登录”功能进行账号劫持。Descope的首席安全官OmerCohen表示：“如果应用在没有验证的情况下合并用户账户，那么攻击者将完全控制受害者的账户，即使受害者没有Microsoft账号”。

与此同时，微软也将该漏洞视为一种“不安全的反模式”。微软指出：“攻击者可以在发给应用的令牌中伪造邮箱声明。此外，如果应用使用这些声明进行邮箱查找，数据泄漏的风险也会增加。”微软已经通知了那些存在未验证域拥有者的用户邮箱地址的多租户应用。

相关链接： – –