Microsoft Entra ID:n Nested App Authentication -haavoittuvuus mahdollisti kaikkien ehdollisten pääsykäytäntöjen ohittamisen
NetSPI:n tutkija Thomas Byrne paljasti Microsoftin Nested App Authentication (NAA) mekanismin haavoittuvuuden, joka mahdollisti Microsoft Graph valtuustunnusten hankkimisen ilman minkään ehdollisen pääsykäytännön arvi... Hyökkäys edellytti varastettua Azure Portal päivitystunnusta (esim.
JulkaisijaMuokattu mallilla DeepSeek-V4-FlashKuvat luotu mallilla GPT Image 1.5
NetSPI:n tutkija Thomas Byrne paljasti Microsoftin Nested App Authentication (NAA) mekanismin haavoittuvuuden, joka mahdollisti Microsoft Graph valtuustunnusten hankkimisen ilman minkään ehdollisen pääsykäytännön arvi...
Hyökkäys edellytti varastettua Azure Portal päivitystunnusta (esim. tietojenkalastelun kautta), jonka avulla ADIbizaUX asiakasohjelman välittämä token vaihto tuotti Graph pääsytunnuksen ilman käytäntöjen arviointia –...
Samana päivänä NetSPI:n paljastuksen kanssa tutkija Dirk jan Molenaar julkaisi erillisen resurssipoikkeuksen ohitusmenetelmän, jonka Microsoft alkoi sulkea perustason laajuuden valvonnalla 15.
Search & fact-check with cited sources for What was the Microsoft Entra ID vulnerability publicly disclosed by NetSPI researchers, how did iA representation of the Microsoft Entra ID security gap that allowed NAA token brokering to bypass all Conditional Access controls.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What was the Microsoft Entra ID vulnerability publicly disclosed by NetSPI researchers, how did i. Article summary: Here is the full fact-checked breakdown of the NetSPI-disclosed Microsoft Entra ID vulnerability, the attack scenario, Microsoft's response, and the broader Conditional Access enforcement changes.. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait th
openai.com
kesäkuuta 2026 NetSPI:n tutkija Thomas Byrne julkisti haavoittuvuuden Microsoft Entra ID:n Nested App Authentication (NAA) -mekanismissa, jota kutsutaan myös nimellä BroCI. Haavoittuvuus mahdollisti hyökkääjille minkä tahansa ehdollisen pääsykäytännön ohittamisen, mukaan lukien MFA-vaatimukset, laiteyhteensopivuustarkistukset ja sijaintiperusteiset rajoitukset . Microsoft korjasi haavoittuvuuden palvelinpuolella luokitellen sen keskitasoiseksi, ja sen julkistaminen oli merkittävä hetki identiteettiturvalle, sillä se paljastettiin samana päivänä toisen, erillisen ohitusmenetelmän ja Microsoftin sarjan toimeenpanomuutosten rinnalla.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Microsoft Entra ID:n Nested App Authentication -haavoittuvuus mahdollisti kaikkien ehdollisten pääsykäytäntöjen ohittamisen"?
NetSPI:n tutkija Thomas Byrne paljasti Microsoftin Nested App Authentication (NAA) mekanismin haavoittuvuuden, joka mahdollisti Microsoft Graph valtuustunnusten hankkimisen ilman minkään ehdollisen pääsykäytännön arvi...
What are the key points to validate first?
NetSPI:n tutkija Thomas Byrne paljasti Microsoftin Nested App Authentication (NAA) mekanismin haavoittuvuuden, joka mahdollisti Microsoft Graph valtuustunnusten hankkimisen ilman minkään ehdollisen pääsykäytännön arvi... Hyökkäys edellytti varastettua Azure Portal päivitystunnusta (esim. tietojenkalastelun kautta), jonka avulla ADIbizaUX asiakasohjelman välittämä token vaihto tuotti Graph pääsytunnuksen ilman käytäntöjen arviointia –...
What should I do next in practice?
Samana päivänä NetSPI:n paljastuksen kanssa tutkija Dirk jan Molenaar julkaisi erillisen resurssipoikkeuksen ohitusmenetelmän, jonka Microsoft alkoi sulkea perustason laajuuden valvonnalla 15.
Microsoft Entra ID:n Nested App Authentication -haavoittuvuus mahdollisti kaikkien ehdollisten pääsykäytäntöjen ohittamisen
NetSPI:n tutkija Thomas Byrne paljasti Microsoftin Nested App Authentication (NAA) mekanismin haavoittuvuuden, joka mahdollisti Microsoft Graph valtuustunnusten hankkimisen ilman minkään ehdollisen pääsykäytännön arvi... Hyökkäys edellytti varastettua Azure Portal päivitystunnusta (esim.
JulkaisijaMuokattu mallilla DeepSeek-V4-FlashKuvat luotu mallilla GPT Image 1.5
NetSPI:n tutkija Thomas Byrne paljasti Microsoftin Nested App Authentication (NAA) mekanismin haavoittuvuuden, joka mahdollisti Microsoft Graph valtuustunnusten hankkimisen ilman minkään ehdollisen pääsykäytännön arvi...
Hyökkäys edellytti varastettua Azure Portal päivitystunnusta (esim. tietojenkalastelun kautta), jonka avulla ADIbizaUX asiakasohjelman välittämä token vaihto tuotti Graph pääsytunnuksen ilman käytäntöjen arviointia –...
Samana päivänä NetSPI:n paljastuksen kanssa tutkija Dirk jan Molenaar julkaisi erillisen resurssipoikkeuksen ohitusmenetelmän, jonka Microsoft alkoi sulkea perustason laajuuden valvonnalla 15.
Search & fact-check with cited sources for What was the Microsoft Entra ID vulnerability publicly disclosed by NetSPI researchers, how did iA representation of the Microsoft Entra ID security gap that allowed NAA token brokering to bypass all Conditional Access controls.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What was the Microsoft Entra ID vulnerability publicly disclosed by NetSPI researchers, how did i. Article summary: Here is the full fact-checked breakdown of the NetSPI-disclosed Microsoft Entra ID vulnerability, the attack scenario, Microsoft's response, and the broader Conditional Access enforcement changes.. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait th
openai.com
kesäkuuta 2026 NetSPI:n tutkija Thomas Byrne julkisti haavoittuvuuden Microsoft Entra ID:n Nested App Authentication (NAA) -mekanismissa, jota kutsutaan myös nimellä BroCI. Haavoittuvuus mahdollisti hyökkääjille minkä tahansa ehdollisen pääsykäytännön ohittamisen, mukaan lukien MFA-vaatimukset, laiteyhteensopivuustarkistukset ja sijaintiperusteiset rajoitukset . Microsoft korjasi haavoittuvuuden palvelinpuolella luokitellen sen keskitasoiseksi, ja sen julkistaminen oli merkittävä hetki identiteettiturvalle, sillä se paljastettiin samana päivänä toisen, erillisen ohitusmenetelmän ja Microsoftin sarjan toimeenpanomuutosten rinnalla.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Microsoft Entra ID:n Nested App Authentication -haavoittuvuus mahdollisti kaikkien ehdollisten pääsykäytäntöjen ohittamisen"?
NetSPI:n tutkija Thomas Byrne paljasti Microsoftin Nested App Authentication (NAA) mekanismin haavoittuvuuden, joka mahdollisti Microsoft Graph valtuustunnusten hankkimisen ilman minkään ehdollisen pääsykäytännön arvi...
What are the key points to validate first?
NetSPI:n tutkija Thomas Byrne paljasti Microsoftin Nested App Authentication (NAA) mekanismin haavoittuvuuden, joka mahdollisti Microsoft Graph valtuustunnusten hankkimisen ilman minkään ehdollisen pääsykäytännön arvi... Hyökkäys edellytti varastettua Azure Portal päivitystunnusta (esim. tietojenkalastelun kautta), jonka avulla ADIbizaUX asiakasohjelman välittämä token vaihto tuotti Graph pääsytunnuksen ilman käytäntöjen arviointia –...
What should I do next in practice?
Samana päivänä NetSPI:n paljastuksen kanssa tutkija Dirk jan Molenaar julkaisi erillisen resurssipoikkeuksen ohitusmenetelmän, jonka Microsoft alkoi sulkea perustason laajuuden valvonnalla 15.
Haavoittuvuus: Kuinka NAA mahdollisti kaikkien suojausohitusten
Nested App Authentication on Microsoftin mukautettu OAuth-kertakirjautumismekanismi, joka sallii niin sanotun "isäntä"-sovelluksen, kuten Azure Portalin, välittää token-vaihtoja hiljaisesti sisäkkäisille alisovelluksille ilman, että käyttäjää pyydetään uudelleenkirjautumaan . Tämä toimii upottamalla erityisiä parametreja (brk_client_id, brk_redirect_uri) tavallisiin OAuth-tokenpyyntöihin osoitteeseen login.microsoftonline.com.
Byrne havaitsi tässä mekanismissa kriittisen puutteen. Haavoittuvuus koski erityisesti tilanteita, joissa ADIbizaUX-asiakasohjelma – Azure Portalin IAM-hallintakomponentti – välitti välimuistiin tallennetun Azure Portal -päivitystunnuksen pyytääkseen pääsytunnusta Microsoft Graph API:lle . Normaalisti päivitystunnuksen vaihtoon sovelletaan ehdollisen pääsyn arviointia, mutta NetSPI havaitsi, että NAA-vuota käytettäessä ADIbizaUX:n kautta Microsoft Graph -resurssia vastaan ehdollisia pääsykäytäntöjä ei arvioitu lainkaan. Pääsytunnus myönnettiin riippumatta käytäntöjen asetuksista. Kaksi muuta Microsoft Intune -portaalilaajennuksen asiakastunnusta havaittiin myös toteuttavan saman ohituskäyttäytymisen .
Hyökkäysskenaario: Pysyvyys ilman havaitsemista
Hyökkäys vaatii erityisen esiehdon – varastetun Azure Portal -päivitystunnuksen – mutta on erittäin tehokas post-kompromissi pysyvyydelle ja lateraaliselle liikkumiselle . Skenaario etenee neljässä vaiheessa:
Alkuperäinen kompromissi: Hyökkääjä varastaa ensin voimassa olevan Azure Portal -päivitystunnuksen, esimerkiksi tietojenkalastelun, välityspalvelinhyökkäysten (AITM) kautta, jotka kohdistuvat login.microsoftonline.com -osoitteeseen, tai muilla tokenien varastamismenetelmillä .
Tokenin välittäminen NAA:n kautta: Hyökkääjä käyttää varastettua Azure Portal -päivitystunnusta ja NAA-välitysvuota (ADIbizaUX:n tai Intune-portaalilaajennusten kautta) vaihtaakseen sen hiljaisesti Microsoft Graph -pääsytunnukseksi .
Kaikkien suojauksien ohittaminen: Graph-tunnus myönnetään ilman minkään ehdollisen pääsyn arviointia – ei MFA-kehotteita, laiteyhteensopivuustarkistuksia tai sijaintirajoituksia – vaikka nämä käytännöt olisivat aktiivisia .
Pysyvyys ja lateraalinen liikkuminen: ADIbizaUX:lla on laajat ennalta hyväksytyt Graph-oikeudet ja se paljastaa dokumentoimattomia APIja käyttäjien, ryhmien, palvelupäämiesten, sovellusten, hakemistojen ja jopa ehdollisten pääsykäytäntöjen hallintaan – kaikki ilman lokitusta, joten toimet jäävät täysin huomaamatta .
Haavoittuvuudella on rajoituksia. Varastetulla Azure Portal -päivitystunnuksella on kiinteä 24 tunnin elinikä eikä sitä voida uusia, mikä rajoittaa pysyvyysikkunaa . Hyökkääjällä on oltava jo uhrin päivitystunnus, joten tämä on post-kompromissi eskalaatio- ja pysyvyystekniikka, ei etäkoodin suoritus . Tästä huolimatta MSRC luokitteli ohituksen keskitasoiseksi.
Microsoftin vastaus: Palvelinpuolen korjaus ilman CVE:tä
NetSPI ilmoitti ongelmasta MSRC:lle 17. maaliskuuta 2026. MSRC luokitteli sen keskitasoiseksi haavoittuvuudeksi ja toimitti palvelinpuolen korjauksen. Korjauksen jälkeisessä testauksessa varmistettiin, että aiemmin onnistuneet NAA-vuot palauttavat nyt AADSTS53003 -virheitä, kun ehdollista pääsykäytäntöä sovelletaan . Microsoft ei antanut CVE-tunnusta tälle erityiselle ongelmalle, eikä korjaus vaatinut asiakastoimia .
Laajempi konteksti: Kaksi ehdollisen pääsyn ohitusta samana päivänä
kesäkuuta 2026 tutkijat julkistivat kaksi erillistä Entra ehdollisen pääsyn ohitusmenetelmää samana päivänä :
Löydös
Lähde
Mekanismi
Microsoftin vastaus
NAA / BroCI -ohitus
NetSPI (Thomas Byrne)
Nested App Authentication -tokenvälityksen väärinkäyttö ADIbizaUX:n ja Intune-portaalilaajennusten kautta
MSRC keskitasoinen korjaus; palauttaa nyt AADSTS53003
Resurssipoikkeuksen ohitus
Dirk-jan Molenaar (dirkjanm.io)
Käytännöt, jotka kohdistuvat "Kaikki resurssit" vähintään yhdellä poissuljetulla resurssilla, voitiin ohittaa Graph-tunnuksia käyttämällä vain perustason OIDC/hakemistolaajuuksia
Microsoft tunnusti ja aloitti perustason laajuuden valvonnan käyttöönoton alkaen 15. kesäkuuta 2026; varhainen käyttöönotto mahdollista Entra-hallintakeskuksessa
Microsoftin laajemmat ehdollisen pääsyn toimeenpanomuutokset vuonna 2026
NAA-ohituksen korjaamisen lisäksi Microsoft on asteittain sulkenut ehdollisen pääsyn toimeenpanoaukkoja vuonna 2026:
27. maaliskuuta 2026 – kesäkuu 2026 (vaiheittain): Microsoft muutti sitä, miten ehdollisen pääsyn käytäntöjä, jotka kohdistuvat "Kaikki resurssit", toimeenpannaan, kun näihin käytäntöihin sisältyy resurssipoikkeuksia. Aiemmin kirjautumiset, jotka pyysivät vain perustason OIDC-laaajuuksia (kuten openid, profile, User.Read), saattoivat ohittaa ehdollisen pääsyn kokonaan, jos käytännössä oli jokin resurssipoikkeus. Toimeenpanomuutos varmistaa, että poikkeuksia sisältäviä käytäntöjä arvioidaan silti "Kaikki resurssit" -laajuuden mukaan . Microsoft ilmoitti vaikutetuille vuokralaisille viestikeskuksen kautta (merkintä MC1223829) .
15. kesäkuuta 2026: Microsoft aloitti perustason laajuuden valvonnan toimeenpanon erityisesti resurssipoikkeuksen ohitusta varten, sulkien Graph-tunnuksen ohitustien, jonka Dirk-jan Molenaar paljasti .
31. maaliskuuta 2026: Microsoft toimeenpani palvelupäämiehittömän todennuksen eläkkeelle siirtymisen muille kuin Microsoftin monivuokralaisille sovelluksille. Kaikkien sovellusten on todennettava rekisteröidyllä palvelupäämiehellä; muuten kirjautumisvuot epäonnistuvat .
Kesäkuu 2026: Microsoft ilmoitti laajemmista Entra ID -turvallisuuspäivityksistä, mukaan lukien Mukautettujen ohjausobjektien korvaaminen ulkoisella MFA:lla, ehdollisen pääsyn johdonmukainen toimeenpano tunnistetietojen rekisteröinnin aikana ja nimenomaan rekisteröityjen todennusmenetelmien vaatiminen itsepalvelun salasanan palautukselle (SSPR) .
Tärkeimmät opit puolustajille
NAA-ohitus on korjattu palvelinpuolella. Erillisiä vuokralaispuolen toimia ei tarvita NetSPI:n löydöksen osalta .
Resurssipoikkeuksen ohitusta varten ota käyttöön perustason laajuuden valvonta -vaihtoehto Entra-hallintakeskuksessa varmistaaksesi ehdollisen pääsyn asianmukaisen arvioinnin .
Seuraa AADSTS53003-virhekoodia, joka nyt oikein estää luvattomat NAA-pohjaiset token-vaihdot .
ADIbizaUX:n dokumentoimattomat API:t, jotka voivat toimia ilman lokitusta, ovat edelleen huolenaihe – organisaatioiden tulisi seurata Azure Portal -kirjautumislokeja ja tokenien jakelumalleja tarkasti .
Palvelupäämiehittömän todennuksen poistuttua 31. maaliskuuta 2026, varmista, että kaikilla monivuokralaisilla sovelluksilla on rekisteröity palvelupäämies .
cybersecuritynews.com
Microsoft Entra Conditional Access Policies Can Be Bypassed Via Nested App Authentication
Haavoittuvuus: Kuinka NAA mahdollisti kaikkien suojausohitusten
Nested App Authentication on Microsoftin mukautettu OAuth-kertakirjautumismekanismi, joka sallii niin sanotun "isäntä"-sovelluksen, kuten Azure Portalin, välittää token-vaihtoja hiljaisesti sisäkkäisille alisovelluksille ilman, että käyttäjää pyydetään uudelleenkirjautumaan . Tämä toimii upottamalla erityisiä parametreja (brk_client_id, brk_redirect_uri) tavallisiin OAuth-tokenpyyntöihin osoitteeseen login.microsoftonline.com.
Byrne havaitsi tässä mekanismissa kriittisen puutteen. Haavoittuvuus koski erityisesti tilanteita, joissa ADIbizaUX-asiakasohjelma – Azure Portalin IAM-hallintakomponentti – välitti välimuistiin tallennetun Azure Portal -päivitystunnuksen pyytääkseen pääsytunnusta Microsoft Graph API:lle . Normaalisti päivitystunnuksen vaihtoon sovelletaan ehdollisen pääsyn arviointia, mutta NetSPI havaitsi, että NAA-vuota käytettäessä ADIbizaUX:n kautta Microsoft Graph -resurssia vastaan ehdollisia pääsykäytäntöjä ei arvioitu lainkaan. Pääsytunnus myönnettiin riippumatta käytäntöjen asetuksista. Kaksi muuta Microsoft Intune -portaalilaajennuksen asiakastunnusta havaittiin myös toteuttavan saman ohituskäyttäytymisen .
Hyökkäysskenaario: Pysyvyys ilman havaitsemista
Hyökkäys vaatii erityisen esiehdon – varastetun Azure Portal -päivitystunnuksen – mutta on erittäin tehokas post-kompromissi pysyvyydelle ja lateraaliselle liikkumiselle . Skenaario etenee neljässä vaiheessa:
Alkuperäinen kompromissi: Hyökkääjä varastaa ensin voimassa olevan Azure Portal -päivitystunnuksen, esimerkiksi tietojenkalastelun, välityspalvelinhyökkäysten (AITM) kautta, jotka kohdistuvat login.microsoftonline.com -osoitteeseen, tai muilla tokenien varastamismenetelmillä .
Tokenin välittäminen NAA:n kautta: Hyökkääjä käyttää varastettua Azure Portal -päivitystunnusta ja NAA-välitysvuota (ADIbizaUX:n tai Intune-portaalilaajennusten kautta) vaihtaakseen sen hiljaisesti Microsoft Graph -pääsytunnukseksi .
Kaikkien suojauksien ohittaminen: Graph-tunnus myönnetään ilman minkään ehdollisen pääsyn arviointia – ei MFA-kehotteita, laiteyhteensopivuustarkistuksia tai sijaintirajoituksia – vaikka nämä käytännöt olisivat aktiivisia .
Pysyvyys ja lateraalinen liikkuminen: ADIbizaUX:lla on laajat ennalta hyväksytyt Graph-oikeudet ja se paljastaa dokumentoimattomia APIja käyttäjien, ryhmien, palvelupäämiesten, sovellusten, hakemistojen ja jopa ehdollisten pääsykäytäntöjen hallintaan – kaikki ilman lokitusta, joten toimet jäävät täysin huomaamatta .
Haavoittuvuudella on rajoituksia. Varastetulla Azure Portal -päivitystunnuksella on kiinteä 24 tunnin elinikä eikä sitä voida uusia, mikä rajoittaa pysyvyysikkunaa . Hyökkääjällä on oltava jo uhrin päivitystunnus, joten tämä on post-kompromissi eskalaatio- ja pysyvyystekniikka, ei etäkoodin suoritus . Tästä huolimatta MSRC luokitteli ohituksen keskitasoiseksi.
Microsoftin vastaus: Palvelinpuolen korjaus ilman CVE:tä
NetSPI ilmoitti ongelmasta MSRC:lle 17. maaliskuuta 2026. MSRC luokitteli sen keskitasoiseksi haavoittuvuudeksi ja toimitti palvelinpuolen korjauksen. Korjauksen jälkeisessä testauksessa varmistettiin, että aiemmin onnistuneet NAA-vuot palauttavat nyt AADSTS53003 -virheitä, kun ehdollista pääsykäytäntöä sovelletaan . Microsoft ei antanut CVE-tunnusta tälle erityiselle ongelmalle, eikä korjaus vaatinut asiakastoimia .
Laajempi konteksti: Kaksi ehdollisen pääsyn ohitusta samana päivänä
kesäkuuta 2026 tutkijat julkistivat kaksi erillistä Entra ehdollisen pääsyn ohitusmenetelmää samana päivänä :
Löydös
Lähde
Mekanismi
Microsoftin vastaus
NAA / BroCI -ohitus
NetSPI (Thomas Byrne)
Nested App Authentication -tokenvälityksen väärinkäyttö ADIbizaUX:n ja Intune-portaalilaajennusten kautta
MSRC keskitasoinen korjaus; palauttaa nyt AADSTS53003
Resurssipoikkeuksen ohitus
Dirk-jan Molenaar (dirkjanm.io)
Käytännöt, jotka kohdistuvat "Kaikki resurssit" vähintään yhdellä poissuljetulla resurssilla, voitiin ohittaa Graph-tunnuksia käyttämällä vain perustason OIDC/hakemistolaajuuksia
Microsoft tunnusti ja aloitti perustason laajuuden valvonnan käyttöönoton alkaen 15. kesäkuuta 2026; varhainen käyttöönotto mahdollista Entra-hallintakeskuksessa
Microsoftin laajemmat ehdollisen pääsyn toimeenpanomuutokset vuonna 2026
NAA-ohituksen korjaamisen lisäksi Microsoft on asteittain sulkenut ehdollisen pääsyn toimeenpanoaukkoja vuonna 2026:
27. maaliskuuta 2026 – kesäkuu 2026 (vaiheittain): Microsoft muutti sitä, miten ehdollisen pääsyn käytäntöjä, jotka kohdistuvat "Kaikki resurssit", toimeenpannaan, kun näihin käytäntöihin sisältyy resurssipoikkeuksia. Aiemmin kirjautumiset, jotka pyysivät vain perustason OIDC-laaajuuksia (kuten openid, profile, User.Read), saattoivat ohittaa ehdollisen pääsyn kokonaan, jos käytännössä oli jokin resurssipoikkeus. Toimeenpanomuutos varmistaa, että poikkeuksia sisältäviä käytäntöjä arvioidaan silti "Kaikki resurssit" -laajuuden mukaan . Microsoft ilmoitti vaikutetuille vuokralaisille viestikeskuksen kautta (merkintä MC1223829) .
15. kesäkuuta 2026: Microsoft aloitti perustason laajuuden valvonnan toimeenpanon erityisesti resurssipoikkeuksen ohitusta varten, sulkien Graph-tunnuksen ohitustien, jonka Dirk-jan Molenaar paljasti .
31. maaliskuuta 2026: Microsoft toimeenpani palvelupäämiehittömän todennuksen eläkkeelle siirtymisen muille kuin Microsoftin monivuokralaisille sovelluksille. Kaikkien sovellusten on todennettava rekisteröidyllä palvelupäämiehellä; muuten kirjautumisvuot epäonnistuvat .
Kesäkuu 2026: Microsoft ilmoitti laajemmista Entra ID -turvallisuuspäivityksistä, mukaan lukien Mukautettujen ohjausobjektien korvaaminen ulkoisella MFA:lla, ehdollisen pääsyn johdonmukainen toimeenpano tunnistetietojen rekisteröinnin aikana ja nimenomaan rekisteröityjen todennusmenetelmien vaatiminen itsepalvelun salasanan palautukselle (SSPR) .
Tärkeimmät opit puolustajille
NAA-ohitus on korjattu palvelinpuolella. Erillisiä vuokralaispuolen toimia ei tarvita NetSPI:n löydöksen osalta .
Resurssipoikkeuksen ohitusta varten ota käyttöön perustason laajuuden valvonta -vaihtoehto Entra-hallintakeskuksessa varmistaaksesi ehdollisen pääsyn asianmukaisen arvioinnin .
Seuraa AADSTS53003-virhekoodia, joka nyt oikein estää luvattomat NAA-pohjaiset token-vaihdot .
ADIbizaUX:n dokumentoimattomat API:t, jotka voivat toimia ilman lokitusta, ovat edelleen huolenaihe – organisaatioiden tulisi seurata Azure Portal -kirjautumislokeja ja tokenien jakelumalleja tarkasti .
Palvelupäämiehittömän todennuksen poistuttua 31. maaliskuuta 2026, varmista, että kaikilla monivuokralaisilla sovelluksilla on rekisteröity palvelupäämies .
cybersecuritynews.com
Microsoft Entra Conditional Access Policies Can Be Bypassed Via Nested App Authentication
