La omisión de autenticación de Microsoft Entra ID no resuelta pone en riesgo las identificaciones híbridas

Los investigadores han encontrado una manera de manipular el proceso de validación de credenciales en entornos de identidad Microsoft Entra ID que creen que puede permitir a los atacantes eludir la autenticación en infraestructuras de identidad híbridas.

El ataque requeriría que un atacante tuviera acceso administrativo a un servidor que aloja un agente de autenticación Pass-Through (PTA). Este es un componente que permite a los usuarios iniciar sesión en servicios en la nube utilizando credenciales locales de Microsoft Entra ID (anteriormente Azure Active Directory). Con este acceso, pueden iniciar sesión como usuarios de Entra ID en diferentes dominios locales sin necesidad de una autenticación por separado, dijeron investigadores de Cymulate en un comunicado. informe esta semana.

La PTA se convierte en un agente doble

«Esta vulnerabilidad convierte efectivamente al agente PTA en un agente doble, permitiendo a los atacantes iniciar sesión como cualquier usuario de AD sincronizado sin conocer su contraseña real», dijo el investigador de seguridad Cymulate. Ilan Kalendarov escribió. «Esto podría otorgar acceso a un usuario administrador global si se asignaran dichos permisos, independientemente de su dominio AD sincronizado originalmente» y permitir el movimiento lateral a diferentes dominios locales.

Microsoft no respondió de inmediato a una solicitud de comentarios de Dark Reading. Sin embargo, según Cymulate, Microsoft planea corregir el código de su sitio para resolver el problema. Sin embargo, la compañía también describió la técnica de ataque como una amenaza de gravedad media, según el proveedor de seguridad con sede en Israel.

A principios de este mes en Black Hat USA 2024, dijo un investigador de seguridad Semperis ha anunciado otro problema con Entra ID que dio a los atacantes acceso a todo el entorno de nube de una organización. son atacantes creciente enfoque en los servicios de identidad en la nube como Entra ID, Okta y Ping, porque una vez que logran comprometer a uno de estos proveedores, tienen acceso completo a los datos corporativos en aplicaciones SaaS.

El ataque de prueba de concepto de Cymulate explota una vulnerabilidad en Entra ID, que según la compañía ocurre al sincronizar múltiples dominios locales con un solo inquilino de Azure. En comentarios a Dark Reading, Kalendarov dice que es una práctica que las organizaciones suelen utilizar para, por ejemplo, agilizar el acceso de los usuarios entre diferentes departamentos o simplificar la gestión de TI para empresas con múltiples filiales. La sincronización de múltiples dominios locales con un único inquilino de Azure permite una colaboración perfecta entre unidades de negocio independientes, afirma.

Tramitación incorrecta de solicitudes

Cymulate ha descubierto que los agentes de PTA en esta configuración a veces pueden manejar mal las solicitudes de autenticación para diferentes dominios locales. La investigación de la compañía reveló que cuando un usuario intenta iniciar sesión en Entra ID, la solicitud de verificación de contraseña se coloca en una cola de servicio y cualquier PTA disponible la recupera de uno de los dominios locales sincronizados.

Cymulate descubrió que ocasionalmente un agente de PTA recupera el nombre de usuario y la contraseña de otro dominio local e intenta validarlos con su propio Windows Server AD. «Esto provoca un fallo de autenticación porque el servidor no reconoce al usuario concreto», afirma Kalendarov. “Depende de qué agente de la PTA reciba la solicitud primero. Sin embargo, en nuestras pruebas e investigaciones, esto ocurrió con bastante frecuencia”.

El POC de Cymulate explota este problema en particular. Para demostrar cómo un atacante podría abusar de él, los investigadores primero inyectaron una biblioteca de enlaces dinámicos no administrada en el agente de PTA. Una vez cargada, la DLL administrada intercepta la función ValidateCredential, que es responsable de validar las credenciales del usuario al principio y al final. Al interceptar esta función, el atacante puede manipular su resultado y obligarlo siempre a devolver True, señaló Cymulate. “Esto significa que incluso si proporcionamos las credenciales de un usuario de un dominio diferente, el gancho devolverá: VERDADEROCymulate dijo. «De modo que podríamos iniciar sesión como cualquier usuario desde cualquier AD local sincronizado».

El ataque sólo funciona si el atacante primero obtiene acceso administrativo local al servidor de PTA, afirma Kalendarov. “En teoría, existen ataques en los que primero se accede al servidor de la PTA, se copia el certificado y luego se crea su propio servidor replicado. El ataque también funcionaría en este servidor”.

Kalendarov dice que Microsoft probablemente clasifica la amenaza como moderada porque el atacante primero debe obtener acceso administrativo local. Además, Microsoft recomienda que las organizaciones traten el servidor como un componente de nivel 0, lo que significa que deben implementar los controles de seguridad más altos, como: B. gestión de acceso estricta, monitoreo mejorado y aislamiento de red. De hecho, la mayoría de las empresas no lo tratan como un componente de Nivel 0, afirma. Microsoft también recomienda que las organizaciones implementen la autenticación de dos factores para todos los usuarios sincronizados.

El propio Cymulate ha recomendado que Microsoft implemente enrutamiento basado en dominio para garantizar que las solicitudes de autenticación se enruten al agente de PTA apropiado. «Además, puede resultar beneficioso establecer una separación lógica estricta entre diferentes dominios locales dentro del mismo inquilino», señaló la empresa.