微软Entra ID漏洞暴露云身份信任模型缺陷
内容提要
微软Entra ID（原Azure AD）存在高危漏洞CVE-2025-55241，攻击者可伪装成任意用户，绕过多因素认证。该漏洞源于未验证的租户机制，攻击者可利用Actor token冒充特权用户。尽管微软已发布补丁，安全专家仍对云身份系统的信任表示担忧。
关键要点
-
微软Entra ID存在高危漏洞CVE-2025-55241，攻击者可伪装成任意用户，绕过多因素认证。
-
漏洞源于未验证的租户机制，攻击者利用Actor token冒充特权用户。
-
漏洞由红队专家Dirk-jan Mollema发现，攻击者可在良性环境中请求Actor token。
-
攻击者可伪装成全局管理员，创建新账户、授予权限或窃取敏感数据。
-
微软在收到报告后迅速开发并部署补丁，但漏洞风险等级从10.0调整为8.7。
-
漏洞核心在于Actor token机制与API配置失误的组合，未检查token的所属租户。
-
请求Actor token的操作不会生成任何日志记录，使得条件访问策略和多因素认证失效。
-
尽管微软已修复漏洞，安全专家仍对云身份系统的信任表示担忧。
-
补丁措施包括禁止通过Azure AD Graph API请求Actor token，清理不安全遗留实践。
-
历史能见度缺失使得防御者无法确认是否曾遭利用，攻击者仍在寻找隐形通道。
延伸解读
漏洞影响的深远性
微软Entra ID的漏洞不仅允许攻击者伪装成任意用户，还可能导致整个租户的安全性崩溃。攻击者一旦获得全局管理员权限，便能创建新账户和窃取敏感数据，这对企业的运营和数据安全构成了严重威胁。
补丁后的信任危机
尽管微软迅速发布了补丁，但安全专家对云身份系统的信任依然存疑。补丁措施虽然封堵了部分漏洞，但历史能见度的缺失使得防御者无法确认是否曾遭到利用，攻击者仍可能利用隐形通道进行攻击。
Actor token机制的风险
漏洞的根源在于Actor token机制与API配置的失误，未能验证token的租户来源。这一设计缺陷使得攻击者能够在低权限环境中构造token，进而冒充其他租户的管理员，显示出云身份验证系统的潜在脆弱性。
延伸问答
微软Entra ID的高危漏洞是什么？
微软Entra ID存在高危漏洞CVE-2025-55241，攻击者可伪装成任意用户，绕过多因素认证。
这个漏洞是如何被发现的？
漏洞由红队专家Dirk-jan Mollema发现，利用未验证的租户机制进行攻击。
攻击者利用这个漏洞可以做什么？
攻击者可以伪装成全局管理员，创建新账户、授予权限或窃取敏感数据。
微软对这个漏洞采取了什么补救措施？
微软迅速开发并部署了补丁，禁止通过Azure AD Graph API请求Actor token。
为什么安全专家对云身份系统的信任表示担忧？
尽管漏洞已修复，但历史能见度缺失使得防御者无法确认是否曾遭利用，攻击者仍在寻找隐形通道。
漏洞的核心原因是什么？
漏洞核心在于Actor token机制与API配置失误的组合，未检查token的所属租户。
