Un problema poco claro en Entra ID permite a los usuarios privilegiados convertirse en administradores globales

BLACK HAT USA – Las Vegas – Miércoles 7 de agosto – Un oscuro problema con el servicio de gestión de acceso e identidad de Microsoft, Entra ID, podría dar a un hacker acceso a todos los rincones del entorno de nube de una empresa.

Fundamentalmente, el ataque requiere que un hacker ya tenga acceso a una cuenta de administrador. Sin embargo, las posibilidades son ilimitadas. 4:20 p.m. hora local hoy en Black HatEric Woodruff, arquitecto líder de seguridad en la nube de Semperis, describe cómo un atacante en esa posición podría explotar los mecanismos de autenticación de múltiples capas en Entra ID para obtener privilegios administrativos globales que lo abarquen todo.

Un atacante con privilegios administrativos globales puede hacer cualquier cosa en el entorno de nube de una organización con todos los servicios conectados, incluido, entre otros, acceder a datos confidenciales e introducir malware. Woodruff explica: “Es como ser administrador de dominio en la nube. Como administrador global, literalmente puedes hacer cualquier cosa: puedes acceder a los correos electrónicos de las personas en Microsoft 365, puedes acceder a cualquier aplicación vinculada a Azure, etc.

Acceso no autorizado en la nube

Entra ID es fundamental para cualquier organización que utilice Microsoft 365 y Azure, ya que administra y protege el acceso y los permisos para aplicaciones y servicios en la nube.

Dentro de cada inquilino (organización), Entra ID representa a los usuarios, grupos y aplicaciones como «principales de servicio» a los que se les pueden asignar roles y permisos de un tipo u otro.

El problema que Woodruff identificó comienza con el hecho de que los usuarios con roles privilegiados de Administrador de aplicaciones o Administrador de aplicaciones en la nube pueden asignar credenciales directamente a una entidad de servicio. Un atacante con tales privilegios puede explotar esta propiedad del sistema para actuar efectivamente como su aplicación objetivo al interactuar con Entra ID.

A continuación, el atacante puede seguir el flujo de concesión de credenciales del cliente OAuth 2.0 e intercambiar credenciales por tokens que concedan acceso a los recursos. Aquí es donde entra en juego el segundo gran problema. Durante su investigación, Woodruff identificó tres principales de servicios de aplicaciones que podían realizar acciones para las que no parecían tener permiso:

El Centro de respuesta de seguridad de Microsoft (MSRC) ha asignado a estas vulnerabilidades niveles de gravedad medio, bajo y alto.

Woodruff enfatiza que el problema del Servicio de registro de dispositivos es mucho más grave que los demás. “Por lo general, delegas funciones administrativas a personas que hacen cosas más mundanas y mundanas. [in your organization]no tienes el poder lo que. Pero si conocen el camino que encontramos, podrían darse ese papel”, explica.

Manejo de permisos en la nube

Cuando Woodruff compartió sus hallazgos con Microsoft, la compañía explicó que sus actividades en realidad se habilitaban «detrás de escena» gracias a mecanismos de autenticación ocultos.

Dark Reading contactó a Microsoft para obtener más información sobre cómo funcionan estos mecanismos de autenticación invisibles y en capas y por qué existen.

Microsoft ha abordado el problema por ahora con nuevos controles que limitan el uso de credenciales de entidad de servicio. Ahora, al intentar elevar los privilegios mediante el servicio de inscripción de dispositivos, Microsoft Graph devuelve un error.

No está claro si este problema alguna vez ha sido explotado en la naturaleza. Para determinar esto, Woodruff dice que las empresas pueden verificar los registros de auditoría de Entra ID o buscar credenciales sobrantes del atacante. Sin embargo, ninguno de estos métodos es infalible, ya que los registros caducan después de un cierto período de tiempo y los atacantes siempre pueden ocultar su rastro documental después del hecho.

“He trabajado en el ecosistema de Microsoft durante un tiempo y he realizado muchas evaluaciones de seguridad. Descubrí que muchas organizaciones tienen precauciones de seguridad relativamente laxas para los administradores de aplicaciones. Eso es lo que se ve en las noticias estos días: alguien se dirige al servicio de asistencia técnica y, de repente, se convierte en administrador de dominio debido a una cadena de autoridad”, afirma.

Si bien este último descubrimiento fue parte del mismo patrón, todavía fue un poco impactante. «Fue como, oh, estos administradores de aplicaciones en muchas organizaciones no están tan al tanto de las cosas como deberían», dice.