उत्तरप्रकाशितकलLast edited कल20 स्रोत

Microsoft Entra ID की NAA खामी: कैसे हैकर्स MFA और सभी Conditional Access Policies को बायपास कर रहे थे?

NetSPI के शोधकर्ता थॉमस बर्न ने Microsoft Entra ID की Nested App Authentication (NAA) फ्रेमवर्क में एक खामी ढूंढी, जिससे बिना किसी Conditional Access Policy (CAP) इवैल्यूएशन के Microsoft Graph टोकन्स हासिल किए जा सकते... हमले में हैकर को पहले एक Azure Portal रिफ्रेश टोकन चुराना होता था (जैसे फिशिंग या AITM अटैक से)।...

Studio Global AI के साथ खोजें और तथ्यों की जांच करें और ट्रेंडिंग पेज देखें

13K0

Conceptual illustration of a locked shield with broken chains and a warning symbol, representing the Microsoft Entra ID Conditional Access bypass vulnerability discovered in Nested — Search & fact-check with cited sources for What was the Microsoft Entra ID vulnerability publicly disclosed by NetSPI researchers, how did iA representation of the Microsoft Entra ID security gap that allowed NAA token brokering to bypass all Conditional Access controls.
AI संकेत
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What was the Microsoft Entra ID vulnerability publicly disclosed by NetSPI researchers, how did i. Article summary: Here is the full fact-checked breakdown of the NetSPI-disclosed Microsoft Entra ID vulnerability, the attack scenario, Microsoft's response, and the broader Conditional Access enforcement changes.. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait th
openai.com

22 जून 2026 को, NetSPI के शोधकर्ता थॉमस बर्न ने Microsoft Entra ID के Nested App Authentication (NAA) फ्रेमवर्क में एक गंभीर सुरक्षा खामी का खुलासा किया। इस खामी की मदद से हमलावर किसी भी Conditional Access Policy (CAP) को बायपास कर सकते थे, जिसमें MFA (मल्टी-फैक्टर ऑथेंटिकेशन), डिवाइस कंप्लायंस चेक और लोकेशन-बेस्ड कंट्रोल शामिल थे । माइक्रोसॉफ्ट ने इस खामी को मध्यम गंभीरता का मानते हुए सर्वर-साइड पैच जारी किया।

खामी कैसे काम करती थी?

Nested App Authentication माइक्रोसॉफ्ट का एक कस्टम OAuth SSO (सिंगल साइन-ऑन) मैकेनिज्म है। यह एक 'होस्ट' एप्लिकेशन (जैसे Azure Portal) को बिना यूजर को दोबारा प्रॉम्प्ट किए, नेस्टेड चाइल्ड एप्लिकेशन के लिए टोकन एक्सचेंज करने की अनुमति देता है ।

बर्न ने पाया कि इस फ्रेमवर्क में एक गंभीर खामी थी। खासतौर पर, जब ADIbizaUX क्लाइंट (Azure Portal का IAM मैनेजमेंट कंपोनेंट) एक कैश्ड Azure Portal रिफ्रेश टोकन को Microsoft Graph API के लिए एक्सेस टोकन में बदलने के लिए ब्रोकर करता था, तो Conditional Access Policies का कोई मूल्यांकन नहीं होता था । इसका मतलब है कि कॉन्फ़िगर की गई किसी भी पॉलिसी के बावजूद, बिना किसी MFA प्रॉम्प्ट या डिवाइस चेक के एक्सेस टोकन जारी हो जाता था । दो अतिरिक्त क्लाइंट आईडी भी इसी खामी से प्रभावित थे ।

Studio Global AI

Search, cite, and publish your own answer

Use this topic as a starting point for a fresh source-backed answer, then compare citations before you share it.

Studio Global AI के साथ खोजें और तथ्यों की जांच करें

लोग पूछते भी हैं