الإجاباتمنشور23 المصادر
ثغرة خطيرة في Microsoft Entra ID: تجاوز كامل للمصادقة متعددة العوامل عبر Nested App Authentication
اكتشف الباحث توماس بيرن من NetSPI أن إطار عمل Nested App Authentication (NAA) يمكن استغلاله للحصول على رموز Microsoft Graph دون أي تقييم لسياسات الوصول المشروط، متجاوزًا MFA والتحقق من الأجهزة يتطلب الهجوم الحصول على رمز تحديث لبوابة Azure (عبر التصيد مثلًا)، ولكنه يسمح بعد ذلك بالحصول على رمز وصول لـ Graph دون أي ت...
إجابة البحث
الوجبات السريعة الرئيسية
- اكتشف الباحث توماس بيرن من NetSPI أن إطار عمل Nested App Authentication (NAA) يمكن استغلاله للحصول على رموز Microsoft Graph دون أي تقييم لسياسات الوصول المشروط، متجاوزًا MFA والتحقق من الأجهزة
- يتطلب الهجوم الحصول على رمز تحديث لبوابة Azure (عبر التصيد مثلًا)، ولكنه يسمح بعد ذلك بالحصول على رمز وصول لـ Graph دون أي تقييم للسياسات، مع صلاحيات واسعة ودون تسجيل أي أنشطة
- في نفس اليوم، كشف باحث آخر عن ثغرة منفصلة تتعلق باستثناء الموارد، والتي بدأت Microsoft في إغلاقها عبر تطبيق نطاقات الأساس بدءًا من 15 يونيو 2026
موجّه الذكاء الاصطناعي
openai.comCreate a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What was the Microsoft Entra ID vulnerability publicly disclosed by NetSPI researchers, how did i. Article summary: Here is the full fact-checked breakdown of the NetSPI-disclosed Microsoft Entra ID vulnerability, the attack scenario, Microsoft's response, and the broader Conditional Access enforcement changes.. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait th
في 22 يونيو 2026، كشف الباحث توماس بيرن من شركة NetSPI عن ثغرة أمنية في إطار عمل Nested App Authentication (NAA) في Microsoft Entra ID (المعروف أيضًا باسم BroCI) . تسمح هذه الثغرة للمهاجمين بتجاوز أي سياسة وصول مشروط (CAP)، بما في ذلك متطلبات المصادقة متعددة العوامل (MFA)، وفحوصات امتثال الأجهزة، وعناصر التحكم القائمة على الموقع
. قامت Microsoft بإصلاح هذه الثغرة من جانب الخادم كمسألة ذات خطورة متوسطة، لكن الكشف عنها يمثل لحظة مهمة لأمن الهوية حيث تم الكشف عنها جنبًا إلى جنب مع طريقة تجاوز ثانية منفصلة وسلسلة من تغييرات الإنفاذ من Microsoft.
الثغرة: كيف يتجاوز NAA جميع عناصر التحكم
Nested App Authentication هي آلية تسجيل دخول أحادي مخصصة من Microsoft (SSO) تسمح لتطبيق "مضيف"، مثل بوابة Azure، بإجراء تبادل رموز صامت لتطبيقات فرعية متداخلة دون إعادة مطالبة المستخدم . تعمل عن طريق تضمين معلمات خاصة (
brk_client_id، brk_redirect_uri) في طلبات رمز OAuth القياسية إلى login.microsoftonline.com .
اكتشف بيرن أن هذه الآلية تحتوي على عيب خطير. أثرت الثغرة على التدفقات التي يقوم فيها عميل ADIbizaUX (مكون إدارة الهوية والوصول في بوابة Azure) بوساطة رمز تحديث مخزن لبوابة Azure لطلب رمز وصول لواجهة برمجة تطبيقات Microsoft Graph . عادةً ما تخضع عمليات تبادل رموز التحديث لتقييم الوصول المشروط، لكن NetSPI وجدت أنه عند استخدام تدفق NAA مع ADIbizaUX مقابل مورد Microsoft Graph، لم يتم تقييم سياسات الوصول المشروط على الإطلاق
. تم إصدار رمز وصول بغض النظر عن أي سياسات تم تكوينها. كما تم العثور على معرفي عميلين إضافيين لملحق Microsoft Intune يظهران نفس سلوك التجاوز
.
سيناريو الهجوم: استمرار الاختراق دون اكتشاف
يتطلب الهجوم شرطًا مسبقًا محددًا وهو الحصول على رمز تحديث مسروق لبوابة Azure . يتكشف السيناريو في أربع خطوات:
- الاختراق الأولي: يسرق المهاجم رمز تحديث صالحًا لبوابة Azure، على سبيل المثال من خلال التصيد أو هجمات الوكيل الوسيط (AITM) التي تستهدف
login.microsoftonline.com.
- الوساطة عبر NAA: يستخدم المهاجم رمز التحديث المسروق وتدفق وساطة NAA (عبر ADIbizaUX أو ملحقات Intune) لتبادله بصمت للحصول على رمز وصول لـ Microsoft Graph
.
- تجاوز جميع عناصر التحكم: يتم إصدار رمز Graph بدون أي تقييم للوصول المشروط - لا توجد مطالبة MFA، ولا فحص لامتثال الجهاز، ولا قيود على الموقع
.
- الاستمرار والحركة الجانبية: يحمل ADIbizaUX صلاحيات Graph واسعة النطاق ويكشف عن واجهات برمجة تطبيقات غير موثقة لإدارة المستخدمين والمجموعات ومبادئ الخدمة والتطبيقات والدلائل وحتى سياسات الوصول المشروط - وكلها بدون تسجيل
.
للهجوم قيود. رمز التحديث المسروق له عمر ثابت يبلغ 24 ساعة وغير قابل للتجديد . يجب أن يكون المهاجم قد حصل بالفعل على رمز تحديث الضحية، مما يجعله أسلوبًا للتصعيد والاستمرار بعد الاختراق
. ومع ذلك، صنف مركز استجابة أمان Microsoft الثغرة على أنها متوسطة الخطورة
.
استجابة Microsoft: إصلاح من جانب الخادم بدون CVE
أبلغت NetSPI المشكلة إلى مركز استجابة أمان Microsoft (MSRC) في 17 مارس 2026 . صنفها MSRC على أنها ثغرة متوسطة الخطورة ونشر إصلاحًا من جانب الخادم. أكدت الاختبارات بعد التصحيح أن تدفقات NAA الناجحة سابقًا تعيد الآن أخطاء AADSTS53003 بشكل صحيح عند تطبيق سياسة الوصول المشروط
. لم تخصص Microsoft CVE لهذه المشكلة المحددة، ولم يتطلب الإصلاح أي إجراء من العميل
.
سياق أوسع: ثغرتان للوصول المشروط تم الكشف عنهما في نفس اليوم
في 22 يونيو 2026، كشف الباحثون عن طريقتين منفصلتين لتجاوز الوصول المشروط في Entra في نفس اليوم :
| الاكتشاف | المصدر | الآلية | استجابة Microsoft |
|---|---|---|---|
| تجاوز NAA / BroCI | NetSPI (توماس بيرن) | إساءة استخدام وساطة رمز NAA عبر ADIbizaUX وملحقات Intune | إصلاح متوسط الخطورة من MSRC؛ يعيد الآن AADSTS53003 |
| تجاوز استثناء الموارد | ديرك-جان مولينار (dirkjanm.io) | يمكن تجاوز السياسات التي تستهدف "جميع الموارد" مع استبعاد مورد واحد على الأقل لرموز Graph باستخدام نطاقات OIDC/الدليل الأساسية فقط | اعترفت Microsoft وبدأت في طرح إنفاذ نطاقات الأساس بدءًا من 15 يونيو 2026، مع إمكانية الاشتراك المبكر عبر مركز إدارة Entra |
تغييرات إنفاذ الوصول المشروط الأوسع من Microsoft في 2026
بالإضافة إلى إصلاح تجاوز NAA، قامت Microsoft بإغلاق فجوات إنفاذ الوصول المشروط تدريجيًا خلال عام 2026:
- 27 مارس 2026 – يونيو 2026 (على مراحل): غيرت Microsoft كيفية إنفاذ سياسات CA التي تستهدف "جميع الموارد" عندما تتضمن تلك السياسات استثناءات للموارد. يضمن تغيير الإنفاذ تقييم السياسات ذات الاستثناءات مقابل نطاق "جميع الموارد"
.
- 15 يونيو 2026: بدأت Microsoft في إنفاذ نطاقات الأساس خصيصًا لتجاوز استثناء الموارد
.
- 31 مارس 2026: فرضت Microsoft إنهاء المصادقة بدون مبدأ خدمة للتطبيقات متعددة المستأجرين غير التابعة لـ Microsoft
.
- يونيو 2026: أعلنت Microsoft عن تحديثات أوسع لأمان Entra ID بما في ذلك استبدال عناصر التحكم المخصصة بـ MFA الخارجية
.
نصائح رئيسية للمدافعين
- تم إصلاح تجاوز NAA من جانب الخادم. لا يلزم أي إجراء من جانب المستأجر
.
- بالنسبة لتجاوز استثناء الموارد، قم بتمكين خيار إنفاذ نطاقات الأساس في مركز إدارة Entra
.
- راقب رمز الخطأ AADSTS53003 الذي يحظر الآن عمليات تبادل الرموز غير المصرح بها عبر NAA
.
- تظل واجهات برمجة التطبيقات غير الموثقة لـ ADIbizaUX والتي يمكن أن تعمل دون تسجيل مصدر قلق
.
- مع إنهاء المصادقة بدون مبدأ خدمة اعتبارًا من 31 مارس 2026، تأكد من أن جميع التطبيقات متعددة المستأجرين لديها مبادئ خدمة مسجلة
.
Studio Global AI
مواصلة البحث الخاص بك
تتضمن هذه الصفحة إجابة مدعومة بالمصدر يمكنك المتابعة داخل Studio Global.
يسأل الناس أيضا
ما هي الإجابة المختصرة على "ثغرة خطيرة في Microsoft Entra ID: تجاوز كامل للمصادقة متعددة العوامل عبر Nested App Authentication"؟
اكتشف الباحث توماس بيرن من NetSPI أن إطار عمل Nested App Authentication (NAA) يمكن استغلاله للحصول على رموز Microsoft Graph دون أي تقييم لسياسات الوصول المشروط، متجاوزًا MFA والتحقق من الأجهزة
ما هي النقاط الأساسية التي يجب التحقق منها أولاً؟
اكتشف الباحث توماس بيرن من NetSPI أن إطار عمل Nested App Authentication (NAA) يمكن استغلاله للحصول على رموز Microsoft Graph دون أي تقييم لسياسات الوصول المشروط، متجاوزًا MFA والتحقق من الأجهزة يتطلب الهجوم الحصول على رمز تحديث لبوابة Azure (عبر التصيد مثلًا)، ولكنه يسمح بعد ذلك بالحصول على رمز وصول لـ Graph دون أي تقييم للسياسات، مع صلاحيات واسعة ودون تسجيل أي أنشطة
ماذا يجب أن أفعل بعد ذلك في الممارسة العملية؟
في نفس اليوم، كشف باحث آخر عن ثغرة منفصلة تتعلق باستثناء الموارد، والتي بدأت Microsoft في إغلاقها عبر تطبيق نطاقات الأساس بدءًا من 15 يونيو 2026
المصادر
- netspi.comBypassing Microsoft Entra Conditional Access Policies via ...
- mallory.aiMicrosoft Entra Conditional Access Bypasses Exposed in ...
- netspi.comTechnical Blog - NetSPI
- guardz.comUnmasking Ongoing Attacks in Entra ID.docx
- cybersecuritynews.comMicrosoft Entra Conditional Access Policies Can Be Bypassed Via Nested App Authentication
- trueconfig.ioMicrosoft Is Closing a Conditional Access Loophole on March 27
- thehackernews.comMicrosoft Patches Critical Entra ID Flaw Enabling Global Admin ...
- helpnetsecurity.comConditional Access enforcement change coming to ...
- linkedin.comMicrosoft Entra ID Conditional Access Policy Change - LinkedIn
- techcommunity.microsoft.comWhat's new in Microsoft Entra – March 2025
- learn.microsoft.comRetirement of service principal-less authentication - Microsoft Learn
- tiagoscarvalho.comHarden Workload Identities in Entra ID 2026 - Full Guide
- techcommunity.microsoft.comSspr Update: Registered...
- netspi.comThomas Byrne, Author at NetSPI
- cloudsecurityalliance.orgEntra ID Vulnerability Shakes Identity Security | CSA
- netspi.comAbusing Entra ID Misconfigurations to Bypass MFA
- hackread.comLegacy Login in Microsoft Entra ID Exploited to Breach Cloud ...
- netspi.comPentesting & Attack Surface Blog - NetSPI
- linkedin.comThomas Byrne's Post
- youtube.comHow Conditional Access Is Bypassed in Microsoft Entra ID (And Why It Matters)
- youtube.comMicrosoft MVP Reveals Hidden Conditional Access Bypasses (Entra ID)
- cybersecuritynews.comMicrosoft Entra Conditional Access Policies Can Be ...
- learn.microsoft.comBlock authentication flows with Conditional Access policy