Entra ID Security Lücke gefixt

[NorbertFe 2.279]

https://www.heise.de/news/Entra-ID-Luecke-Angreifer-haetten-global-alle-Tenants-uebernehmen-koennen-10662375.html

https://www.golem.de/news/microsoft-hacker-konnten-wohl-beliebige-entra-id-tenants-kapern-2509-200233.html

 

und die Original Quelle (soweit ich das gesehen habe).

https://dirkjanm.io/obtaining-global-admin-in-every-entra-id-tenant-with-actor-tokens/

 

Klingt richtig toll ;)

Zitat

Effectively this means that with a token I requested in my lab tenant I could authenticate as any user, including Global Admins, in any other tenant. Because of the nature of these Actor tokens, they are not subject to security policies like Conditional Access, which means there was no setting that could have mitigated this for specific hardened tenants. Since the Azure AD Graph API is an older API for managing the core Azure AD / Entra ID service, access to this API could have been used to make any modification in the tenant that Global Admins can do, including taking over or creating new identities and granting them any permission in the tenant. With these compromised identities the access could also be extended to Microsoft 365 and Azure.

 

[MurdocX 1.004]

Das ist alles andere als Toll. War es erwartbar, dass es irgendwann passiert? Ich denke ja.

 

Nicht das On-Premises hier keine Probleme hat, dennoch würde ich es bevorzugen. Lokale Dienste haben durchaus ihre Berechtigung.

[NorbertFe 2.279]

vor 5 Minuten schrieb MurdocX:

Nicht das On-Premises hier keine Probleme hat,

Das bestreitet ja niemand. Aber die Argumente für und wider interessieren ja kaum noch. 

[MurdocX 1.004]

vor 4 Minuten schrieb NorbertFe:

Aber die Argumente für und wider interessieren ja kaum noch.

Das ist wie mit der Religion. Wenn der Glaube zu Stark ist, dann hinterfragt man nicht mehr (oder zu wenig). Und in Gesprächen wirkt es manchmal wirklich schon wie ein "Glaube". Da werden schnell die letzten 20 Jahre vergessen.