微软修复 CVSS 10.0 分高危 Entra ID 漏洞 CVE-2025-55241
我要评论微软近期修复了Azure Entra ID（原Azure Active Directory）中的微软危一个高危安全漏洞（CVE-2025-55241） 。该漏洞最初被评估为低危权限提升漏洞 ，修复但后续安全研究表明其实际危害远超预期——攻击者可借此仿冒包括全局管理员在内的分高任何用户身份 。
网络安全研究员Dirk-Jan Mollema在为今年黑帽大会和DEF CON会议准备演讲材料时，漏洞首次发现了这一漏洞 。微软危其研究表明，修复未公开文档的分高"Actor tokens"（执行者令牌）结合传统Azure AD Graph API的验证缺陷，可被滥用于仿冒任意Entra ID租户中的漏洞用户身份 ，甚至包括全局管理员。微软危
这意味着在一个实验租户中生成的免费模板修复令牌 ，能够获得对其他租户的分高管理控制权。若仅读取数据，漏洞系统不会产生任何告警或日志；即使执行修改操作 ，微软危痕迹记录也极为有限 。修复
技术原理分析根据Mollema的分高解释，Actor tokens的设计特性加剧了问题严重性 。这类令牌专为后端服务间通信设计，能够绕过条件访问等常规安全防护措施。一旦获取 ，攻击者可在24小时内持续仿冒其他身份，源码库且无法中途撤销 。
微软官方应用可生成具有仿冒权限的令牌 ，但第三方应用则无此权限 。由于Azure AD Graph API缺乏日志记录功能 ，管理员无法察觉攻击者何时访问了用户数据 、群组 、角色 、租户设置、服务主体 、BitLocker密钥及策略等敏感信息。
跨租户攻击演示Mollema在其技术博客中证实 ，由于Azure AD Graph API未能验证令牌的源租户 ，服务器租用仿冒攻击可实现跨租户传播 。通过修改租户ID并锁定已知用户标识符（netId） ，攻击者可从自有租户渗透至任意其他租户 。
获取全局管理员的合法netId后 ，攻击者将完全接管Microsoft 365 、Azure订阅及关联服务 。更严重的是，netId可通过暴力破解快速获取 ，某些情况下还能从跨租户协作的访客账户属性中提取 。
演示视频展示了Actor tokens在单租户内的高防服务器使用方式 ，但相同方法通过该漏洞可实现跨租户攻击 。
修复与行业反思微软在收到报告后三天内（7月17日）即推出全球修复方案 ，后续还追加了阻止应用通过Azure AD Graph请求Actor tokens的缓解措施。该公司表示内部遥测未发现漏洞利用证据 ，该漏洞于9月4日正式获得CVE-2025-55241编号 。
然而安全专家指出 ，该事件暴露出对云身份系统信任机制的深层担忧 。Radiant Logic产品总监Anders Askasan强调 ："此事件表明未文档化的身份特性可能悄然绕过零信任架构 。Actor tokens创建了一个没有策略、没有日志 、建站模板没有可视性的影子后门，动摇了云信任基础 。教训很明确 ：厂商事后修补远远不够 。"
他建议 ："为降低系统性风险 ，企业需要建立覆盖整个身份结构的独立可观测性，持续关联账户、权限和策略 。组织必须获得与厂商无关的可信身份数据视图 ，以便实时验证并在敌对入侵升级为不可逆的数据泄露前采取行动 。"
模板下载相关文章
在数字化时代，数据已成为推动创新和业务发展的关键资源。然而，随之而来的是对数据隐私的日益关注。如何在充分利用数据的同时保护个人隐私，成为了一个迫切需要解决的问题。数据隐私保护技术架构应运而生，旨在平衡2025-12-07
1.摘要Nmap的漏洞扫描功能能够迅速识别目标系统中的漏洞, 通过Nmap脚本引擎(NSE)的强大功能, 它可以扩展成一个强大的漏洞扫描器, 帮助我们列举目标系统中的最新漏洞。通常在渗透测试过程中,2025-12-07
网络安全事件的发生，往往意味着一家企业的生产经营活动将受到重大影响，甚至会面临法律层面的违规处罚。因此，企业必须提前准备好响应网络安全事件的措施，并制定流程清晰、目标明确的事件响应计划。而为了有效提升2025-12-07
随着云存储、软件即服务(SaaS)和人工智能、网络安全等外部产品的激增，管理第三方供应商的风险变得空前紧迫和重要。2023年RSA会议报告发现，87%的受访CISO过去12个月遭受过源自第三方的重大网2025-12-07
关于身份与访问管理IAM），中国的企业机构广泛采用的是4A账户、认证、授权、审计）概念和平台。但传统的4A主要由内部控制和审计而非业务需求所驱动。因此，它无法完全解决因快速扩张的数字业务和严格的监管环2025-12-07
随着互联网的飞速发展，传统的基于密码的身份认证方式正面临着前所未有的挑战。数据泄露、密码破解、钓鱼攻击等问题频发，使得密码成为了网络安全中的薄弱环节。近年来，无密码身份验证技术逐渐崭露头角，预示着身份2025-12-07
最新评论