הפרצה הזו יכלה להפוך כל אחד ל-Global Admin בכל Entra ID

תמונה: dreamstime

כל מנהל IT יודע שהאבטחה בארגון היא לא רק עניין של מערכות הפעלה, אנטי וירוס או טלאים. הכל תלוי בזהות. ברגע שמישהו מצליח להיכנס בתור מישהו אחר המשחק נגמר. לכן שירותי ניהול זהויות כמו Entra ID (לשעבר Azure AD) הם מהשכבות הכי קריטיות בארגון, במיוחד כשהם מחוברים לכל שירות ענן, SaaS או שרת פנימי.

ביולי האחרון, בזמן שהתכונן להרצאה בכנס Black Hat, גילה חוקר הולנדי בשם דירק יאן מולמה (Dirk jan Mollema) שפרצה לא מתוקנת באחד הרכיבים של Entra ID בשילוב טוקן פנימי שנשכח מאחור יכלה לאפשר השתלטות מלאה על כל סביבה מבוססת Entra ID בעולם. כן, כולל הרשאות admin, יצירת משתמשים חדשים, שינוי קונפיגורציה והכל בלי להשאיר עקבות בלוגים.

Entra ID היא שכבת הניהול של מיקרוסופט עבור זהויות משתמשים בענן. כמעט כל ארגון שמשתמש ב-Azure או Microsoft 365, מסתמך עליה, אבל היא גם משמשת לאימות מול אפליקציות ענן צד שלישי: Dropbox, Salesforce, SAP, שירותים של גוגל, אמזון ועוד.

המערכת בנויה כך שכל ארגון שמתחבר לשירותי מיקרוסופט בענן מקבל tenant – אזור מבודד ופרטי שבו נשמרים כל המידע וההגדרות של אותו ארגון: משתמשים, הרשאות, סיסמאות, אפליקציות ומדיניות ארגונית. אפשר לחשוב עליו כמו תיבה נפרדת לכל ארגון, שאליה מחוברים כל השירותים הרלוונטיים. כל פעולה שקשורה לזיהוי או הרשאות, החל מהתחברות בסיסמה (SSO) ועד אימות דו שלבי (MFA) מתבצעת מתוך אותו tenant.

לכן, כשתוקף מצליח לחדור ל-tenant, הוא לא מקבל רק גישה למשתמש אלא לכל מה שמבוסס על הזהות שלו. ובפרצה שגילה מולמה, לא רק שיכל לחדור, הוא יכל לבחור איזה tenant שהוא רוצה.

השחקן הכי מסוכן במערכת

במרכז הסיפור נמצא מנגנון פנימי עתיק בשם Access Control Service, רכיב שעדיין פעיל אצל לקוחות שמשתמשים בפריסות Exchange או SharePoint. שירות זה מפיק טוקנים לא מתועדים מסוג Actor Tokens. מדובר בטוקנים שמיועדים לשימוש פנימי בלבד, ולעולם לא היו אמורים לצאת לאוויר העולם.

הבעיה? הטוקן הזה לא חתום, לא ניתן לביטול, תקף ל-24 שעות, לא נרשם בלוגים, ולא נבדק מול Entra ID כשהוא נשלח לשירות אחר. כלומר: אפשר לייצר טוקן התחזות למשתמש זר בלי שאף אחד ידע, יראה, או יכול לחסום אותך. ומכאן, מתחילה ההחלקה במדרון החלקלק.

כל עדכוני ה-IT, תשתית וטכנולוגיה בערוץ הטלגרם של ITtime

מולמה שיחק עם Actor Token תקף והחליף בו את מזהה הארגון (Tenant ID). לאחר מכן, שלח אותו לממשק Azure AD Graph, ממשק API היסטורי של מיקרוסופט שהוזנח בשנים האחרונות, אך עדיין פעיל אצל לקוחות מסוימים. הוא ציפה לשגיאה. מה שקיבל בפועל, היה גרוע בהרבה:

"בדקתי את זה בעוד כמה סביבות בדיקה שהיו לי גישה אליהן, רק כדי לוודא שאני לא משתגע אבל באמת הצלחתי לגשת לנתונים בסביבות אחרות, כל עוד ידעתי את מזהה ה-tenant (שזה מידע פומבי) ואת ה-netId של משתמש כלשהו מהסביבה".

כלומר, כל מה שנדרש כדי להתחבר זה לדעת שני מזהים פומביים ולהתחזות. במקרה הזה, מולמה השתמש ב-netId של משתמש תקף, ובטוקן מזויף וקיבל בתמורה גישה מלאה לשירותים.

מה אם תוקף רוצה להשתלט על הארגון כולו?

בשלב הבא, השתמש מולמה באותו Actor Token כדי להציג את עצמו כ-Global Admin, המשתמש עם ההרשאות הגבוהות ביותר בארגון. לאחר מכן, הוא גילה שהוא יכול לבצע כל פעולה אפשרית: להוסיף משתמשים, למחוק אותם, לאפס סיסמאות, לשנות הרשאות, להתקין אפליקציות או לחבר אינטגרציות צד ג'.

והגרוע מכל: אף אחת מהפעולות שהובילו להשתלטות לא נרשמה בלוגים של הסביבה. רק הבקשה האחרונה, לדוגמה, יצירת משתמש, הייתה נרשמת. שאר שרשרת התקיפה נעלמה לחלוטין מעיני צוותי האבטחה.

כדי לנצל את הפרצה, תוקף היה צריך לפעול בשלבים פשוטים יחסית. הוא היה מתחיל בהפקת Actor Token מתוך סביבה שנמצאת בשליטתו, ואז משתמש ב-API ציבורי כדי לאתר את מזהה הארגון (Tenant ID) של היעד, מידע שניתן לשלוף לפי שם הדומיין. לאחר מכן, היה מאתר netId של משתמש תקף מתוך אותו ארגון, ומרכיב טוקן התחזות שמשלב את שני הנתונים. עם הטוקן הזה, התוקף היה יכול לשלוף את רשימת המנהלים הגלובליים של הסביבה, לבחור אחד מהם ולבנות טוקן נוסף שמתחזה אליו. משם, הדלת הייתה פתוחה. כל פעולה ניהולית דרך Azure AD Graph, כולל שליטה מוחלטת בסביבת הארגון, הייתה נגישה לו בלחיצת כפתור.
השלב השביעי והאחרון הוא השלב היחיד שתועד ביומני הארגון. כל מה שקדם לו מתבצע "מתחת לרדאר".

מיקרוסופט תיקנה, אבל הבעיה רחבה יותר

הפרצה דווחה למיקרוסופט ב-14 ביולי 2025. החברה פתחה בתחקיר מיידי, ועדכנה את מולמה שהתקלה תוקנה תוך תשעה ימים. ב-4 בספטמבר הוקצה לה מזהה CVE-2025-55241, שתויגה כפרצת הסלמת הרשאות קריטית (Privilege Escalation) בשירות Entra.

במקביל, מיקרוסופט האיצה את ההסרה הסופית של Azure AD Graph, שהיה אמור לצאת מכלל שימוש בספטמבר. אלא שעד אז, עדיין היו אפליקציות פנימיות ולקוחות שהמשיכו להשתמש בו, כולל שירותים פנימיים של מיקרוסופט עצמה.

הגילוי של מלומה נתן הצצה למורכבות שמסתתרת מאחורי מערכות ניהול זהויות מודרניות. לפעמים, בתוך ארכיטקטורה שנראית מתוחזקת ומתוקנת, ממשיכים לפעול שירותים ישנים שאף אחד כבר לא סופר אבל הם שם, מחוברים, עובדים, ויכולים להפוך לנקודת תורפה קריטית. Actor Tokens הם לא באג. הם סימפטום. תזכורת לזה שבענן מנוהל, לפעמים דווקא מה שלא מנוהל הוא הדבר הכי מסוכן.

מולמה סיכם את זה היטב: "השירותים יכולים להנפיק את הטוקנים האלה בעצמם, בלי לפנות ל-Entra ID בכלל. אין לוגים. אין דרך לשלוט בזה. זה פשוט… שם".