Zranitelnost: Jak NAA umožnila obejít všechny kontroly

Nested App Authentication je vlastní mechanismus jednotného přihlašování (SSO) od Microsoftu, postavený na protokolu OAuth. Jeho úkolem je umožnit tzv. „hostitelské“ aplikaci (např. Azure Portal), aby pro své vnořené (dětské) aplikace tiše obstarávala výměnu tokenů – aniž by musela znovu vyzývat uživatele . Funguje tak, že do standardních OAuth požadavků na token odesílaných na login.microsoftonline.com vloží speciální parametry (brk_client_id, brk_redirect_uri) .

Byrne zjistil, že tento mechanismus obsahoval kritickou chybu. Zranitelnost se konkrétně týkala toků, kde klient ADIbizaUX – komponenta Azure Portal pro správu IAM (Identity and Access Management) – zprostředkovával uložený refresh token z Azure Portal k získání přístupového tokenu pro Microsoft Graph API . Za normálních okolností podléhají výměny refresh tokenů vyhodnocení v rámci Conditional Access. NetSPI však zjistila, že při použití toku NAA s klientem ADIbizaUX pro prostředek Microsoft Graph nedocházelo k vyhodnocení politik Conditional Access vůbec . Přístupový token byl vydán bez ohledu na jakákoli nastavená pravidla. Stejné chování vykazovaly také dva další klientské identifikátory pro rozšíření portálu Microsoft Intune .

Scénář útoku: Perzistence po kompromitaci bez detekce

K samotnému útoku je zapotřebí specifický předpoklad – odcizený refresh token z Azure Portal –, ale pro následnou perzistenci a laterální pohyb v síti je vysoce efektivní . Scénář probíhá ve čtyřech krocích:

1. Počáteční kompromitace: Útočník nejprve získá platný refresh token z Azure Portal, například phishingem, útokem typu adversary-in-the-middle (AITM) na login.microsoftonline.com nebo jinou metodou krádeže tokenů .
2. Zprostředkování tokenu přes NAA: Útočník použije odcizený refresh token z Azure Portal a tok NAA (prostřednictvím ADIbizaUX nebo rozšíření Intune) k tiché výměně za přístupový token pro Microsoft Graph .
3. Obejití všech kontrol: Token Graph je vydán bez jakéhokoli vyhodnocení Conditional Access – tedy bez výzvy k MFA, bez kontroly stavu zařízení, bez omezení podle polohy – a to i v případě, že jsou tyto politiky explicitně nastaveny .
4. Perzistence a laterální pohyb: ADIbizaUX disponuje širokými předem schválenými oprávněními k Graph API a vystavuje nedokumentovaná rozhraní API pro správu uživatelů, skupin, instancí služeb (service principals), aplikací, adresářů a dokonce i samotných politik Conditional Access – a to vše bez jakéhokoli logování, takže akce zůstávají zcela neodhaleny .

Zranitelnost má svá omezení. Odcizený refresh token z Azure Portal má pevně stanovenou životnost 24 hodin a není možné jej obnovit, což omezuje okno pro perzistenci . Útočník již musí mít refresh token oběti, jedná se tedy o techniku eskalace oprávnění a perzistence po počáteční kompromitaci, nikoli o vzdálené spuštění kódu . Přesto Microsoft Security Response Center (MSRC) klasifikoval tento bypass jako středně závažný .

Reakce Microsoftu: Oprava na straně serveru bez CVE

NetSPI nahlásila problém do MSRC 17. března 2026 . MSRC jej klasifikoval jako středně závažnou zranitelnost a nasadil opravu na straně serveru. Následné testy potvrdily, že dříve úspěšné toky NAA nyní správně vracejí chybu AADSTS53003 (přístup zablokován), pokud se na ně vztahuje nějaká politika Conditional Access . Microsoft pro tento konkrétní problém nepřidělil CVE identifikátor a oprava nevyžadovala žádnou akci ze strany zákazníků .

Širší kontext: Dva bypassy Conditional Access zveřejněny ve stejný den

Dne 22. června 2026 výzkumníci zveřejnili dvě samostatné metody obcházení Conditional Access v Entra ID :

Širší změny ve vynucování Conditional Access od Microsoftu v roce 2026

Kromě opravy NAA bypassu Microsoft v průběhu roku 2026 postupně uzavírá další mezery ve vynucování Conditional Access:

• 27. března 2026 – červen 2026 (fázově): Microsoft změnil způsob vynucování politik CA cílících na „Všechny prostředky“, pokud tyto politiky obsahují vyloučení prostředků. Dříve platilo, že přihlášení vyžadující pouze základní OIDC rozsahy (např. openid, profile, User.Read) mohla Conditional Access zcela obejít, pokud politika obsahovala jakékoli vyloučení prostředku. Změna zajišťuje, že politiky s vyloučeními jsou stále vyhodnocovány pro rozsah „Všechny prostředky“ . Microsoft informoval dotčené tenanty prostřednictvím záznamu Message Center MC1223829 .

• 15. června 2026: Microsoft zahájil vynucování baseline scope enforcement specificky pro resource exclusion bypass, čímž uzavřel cestu k obcházení tokenů Graph, kterou zveřejnil Dirk-jan Molenaar .

• 31. března 2026: Microsoft prosadil ukončení podpory autentizace bez instancí služeb (service principal-less authentication) pro nemicrosoftí víceklientské aplikace. Všechny aplikace se nyní musí autentizovat pomocí registrované instance služby (service principal); v opačném případě přihlašovací toky selžou .

• Červen 2026: Microsoft oznámil širší bezpečnostní aktualizace Entra ID, včetně nahrazení vlastních ovládacích prvků (Custom controls) externí MFA, důsledného vynucování Conditional Access během registrace přihlašovacích údajů a požadavku na explicitně registrované autentizační metody pro samoobslužné resetování hesla (SSPR) .

Klíčová doporučení pro obránce

• NAA bypass byl opraven na straně serveru. Pro konkrétní nález NetSPI není nutná žádná akce na straně tenantu .
• Pro resource exclusion bypass aktivujte možnost baseline scope enforcement v Centru pro správu Entra, abyste zajistili správné vyhodnocení CA .
• Sledujte chybový kód AADSTS53003, který nyní správně blokuje neautorizované výměny tokenů založené na NAA .
• Nedokumentovaná API ADIbizaUX, která mohou fungovat bez logování, zůstávají problémem – organizace by měly pečlivě monitorovat protokoly přihlášení do Azure Portal a vzorce vydávání tokenů .
• S ukončením podpory service principal-less authentication k 31. březnu 2026 se ujistěte, že všechny víceklientské aplikace mají registrované instance služeb (service principals) .

Zranitelnost: Jak NAA umožnila obejít všechny kontroly

Nested App Authentication je vlastní mechanismus jednotného přihlašování (SSO) od Microsoftu, postavený na protokolu OAuth. Jeho úkolem je umožnit tzv. „hostitelské“ aplikaci (např. Azure Portal), aby pro své vnořené (dětské) aplikace tiše obstarávala výměnu tokenů – aniž by musela znovu vyzývat uživatele . Funguje tak, že do standardních OAuth požadavků na token odesílaných na login.microsoftonline.com vloží speciální parametry (brk_client_id, brk_redirect_uri) .

Byrne zjistil, že tento mechanismus obsahoval kritickou chybu. Zranitelnost se konkrétně týkala toků, kde klient ADIbizaUX – komponenta Azure Portal pro správu IAM (Identity and Access Management) – zprostředkovával uložený refresh token z Azure Portal k získání přístupového tokenu pro Microsoft Graph API . Za normálních okolností podléhají výměny refresh tokenů vyhodnocení v rámci Conditional Access. NetSPI však zjistila, že při použití toku NAA s klientem ADIbizaUX pro prostředek Microsoft Graph nedocházelo k vyhodnocení politik Conditional Access vůbec . Přístupový token byl vydán bez ohledu na jakákoli nastavená pravidla. Stejné chování vykazovaly také dva další klientské identifikátory pro rozšíření portálu Microsoft Intune .

Scénář útoku: Perzistence po kompromitaci bez detekce

K samotnému útoku je zapotřebí specifický předpoklad – odcizený refresh token z Azure Portal –, ale pro následnou perzistenci a laterální pohyb v síti je vysoce efektivní . Scénář probíhá ve čtyřech krocích:

1. Počáteční kompromitace: Útočník nejprve získá platný refresh token z Azure Portal, například phishingem, útokem typu adversary-in-the-middle (AITM) na login.microsoftonline.com nebo jinou metodou krádeže tokenů .
2. Zprostředkování tokenu přes NAA: Útočník použije odcizený refresh token z Azure Portal a tok NAA (prostřednictvím ADIbizaUX nebo rozšíření Intune) k tiché výměně za přístupový token pro Microsoft Graph .
3. Obejití všech kontrol: Token Graph je vydán bez jakéhokoli vyhodnocení Conditional Access – tedy bez výzvy k MFA, bez kontroly stavu zařízení, bez omezení podle polohy – a to i v případě, že jsou tyto politiky explicitně nastaveny .
4. Perzistence a laterální pohyb: ADIbizaUX disponuje širokými předem schválenými oprávněními k Graph API a vystavuje nedokumentovaná rozhraní API pro správu uživatelů, skupin, instancí služeb (service principals), aplikací, adresářů a dokonce i samotných politik Conditional Access – a to vše bez jakéhokoli logování, takže akce zůstávají zcela neodhaleny .

Zranitelnost má svá omezení. Odcizený refresh token z Azure Portal má pevně stanovenou životnost 24 hodin a není možné jej obnovit, což omezuje okno pro perzistenci . Útočník již musí mít refresh token oběti, jedná se tedy o techniku eskalace oprávnění a perzistence po počáteční kompromitaci, nikoli o vzdálené spuštění kódu . Přesto Microsoft Security Response Center (MSRC) klasifikoval tento bypass jako středně závažný .

Reakce Microsoftu: Oprava na straně serveru bez CVE

NetSPI nahlásila problém do MSRC 17. března 2026 . MSRC jej klasifikoval jako středně závažnou zranitelnost a nasadil opravu na straně serveru. Následné testy potvrdily, že dříve úspěšné toky NAA nyní správně vracejí chybu AADSTS53003 (přístup zablokován), pokud se na ně vztahuje nějaká politika Conditional Access . Microsoft pro tento konkrétní problém nepřidělil CVE identifikátor a oprava nevyžadovala žádnou akci ze strany zákazníků .

Širší kontext: Dva bypassy Conditional Access zveřejněny ve stejný den

Dne 22. června 2026 výzkumníci zveřejnili dvě samostatné metody obcházení Conditional Access v Entra ID :

Širší změny ve vynucování Conditional Access od Microsoftu v roce 2026

Kromě opravy NAA bypassu Microsoft v průběhu roku 2026 postupně uzavírá další mezery ve vynucování Conditional Access:

• 27. března 2026 – červen 2026 (fázově): Microsoft změnil způsob vynucování politik CA cílících na „Všechny prostředky“, pokud tyto politiky obsahují vyloučení prostředků. Dříve platilo, že přihlášení vyžadující pouze základní OIDC rozsahy (např. openid, profile, User.Read) mohla Conditional Access zcela obejít, pokud politika obsahovala jakékoli vyloučení prostředku. Změna zajišťuje, že politiky s vyloučeními jsou stále vyhodnocovány pro rozsah „Všechny prostředky“ . Microsoft informoval dotčené tenanty prostřednictvím záznamu Message Center MC1223829 .

• 15. června 2026: Microsoft zahájil vynucování baseline scope enforcement specificky pro resource exclusion bypass, čímž uzavřel cestu k obcházení tokenů Graph, kterou zveřejnil Dirk-jan Molenaar .

• 31. března 2026: Microsoft prosadil ukončení podpory autentizace bez instancí služeb (service principal-less authentication) pro nemicrosoftí víceklientské aplikace. Všechny aplikace se nyní musí autentizovat pomocí registrované instance služby (service principal); v opačném případě přihlašovací toky selžou .

• Červen 2026: Microsoft oznámil širší bezpečnostní aktualizace Entra ID, včetně nahrazení vlastních ovládacích prvků (Custom controls) externí MFA, důsledného vynucování Conditional Access během registrace přihlašovacích údajů a požadavku na explicitně registrované autentizační metody pro samoobslužné resetování hesla (SSPR) .

Klíčová doporučení pro obránce

• NAA bypass byl opraven na straně serveru. Pro konkrétní nález NetSPI není nutná žádná akce na straně tenantu .
• Pro resource exclusion bypass aktivujte možnost baseline scope enforcement v Centru pro správu Entra, abyste zajistili správné vyhodnocení CA .
• Sledujte chybový kód AADSTS53003, který nyní správně blokuje neautorizované výměny tokenů založené na NAA .
• Nedokumentovaná API ADIbizaUX, která mohou fungovat bez logování, zůstávají problémem – organizace by měly pečlivě monitorovat protokoly přihlášení do Azure Portal a vzorce vydávání tokenů .
• S ukončením podpory service principal-less authentication k 31. březnu 2026 se ujistěte, že všechny víceklientské aplikace mají registrované instance služeb (service principals) .