Kerentanan: Bagaimana NAA Memungkinkan Penyerang Melewati Semua Kontrol

Nested App Authentication adalah mekanisme SSO (Single Sign-On) OAuth kustom Microsoft yang dirancang untuk memungkinkan aplikasi "induk", seperti Azure Portal, menjadi broker pertukaran token secara diam-diam untuk aplikasi anak (nested) tanpa meminta ulang pengguna . Mekanismenya bekerja dengan menyematkan parameter khusus (brk_client_id, brk_redirect_uri) ke dalam permintaan token OAuth standar ke login.microsoftonline.com .

Byrne menemukan bahwa mekanisme ini memiliki celah kritis. Kerentanan ini secara spesifik memengaruhi alur di mana klien ADIbizaUX — komponen manajemen IAM (Identity and Access Management) Azure Portal — menjadi broker untuk token refresh Azure Portal yang sudah ada, guna meminta token akses untuk Microsoft Graph API . Biasanya, pertukaran token refresh tunduk pada evaluasi Conditional Access. Namun, NetSPI menemukan bahwa saat menggunakan alur NAA dengan ADIbizaUX terhadap sumber daya Microsoft Graph, Conditional Access Policies tidak dievaluasi sama sekali . Token akses tetap diterbitkan tanpa memedulikan kebijakan yang telah dikonfigurasi. Dua ID klien ekstensi portal Microsoft Intune lainnya juga ditemukan menunjukkan perilaku bypass yang sama .

Skenario Serangan: Persistensi Setelah Kompromi Tanpa Deteksi

Serangan ini memerlukan kondisi awal yang spesifik — token refresh Azure Portal yang dicuri — tetapi sangat efektif untuk persistensi dan pergerakan lateral setelah kompromi awal . Skenarionya berlangsung dalam empat langkah:

1. Kompromi Awal: Penyerang terlebih dahulu mencuri token refresh Azure Portal yang valid, misalnya melalui phishing, serangan proxy adversary-in-the-middle (AITM) yang menargetkan login.microsoftonline.com, atau metode pencurian token lainnya .
2. Broker Token melalui NAA: Penyerang menggunakan token refresh Azure Portal yang dicuri dan alur broker NAA (melalui ADIbizaUX atau ekstensi portal Intune) untuk menukarnya secara diam-diam dengan token akses Microsoft Graph .
3. Melewati Semua Kontrol: Token Graph diterbitkan tanpa evaluasi Conditional Access sama sekali — tidak ada permintaan MFA, tidak ada pemeriksaan kepatuhan perangkat, tidak ada pembatasan lokasi — meskipun kebijakan tersebut telah dikonfigurasi secara eksplisit .
4. Persistensi dan Pergerakan Lateral: ADIbizaUX memiliki izin Graph yang telah disetujui secara luas dan mengekspos API yang tidak terdokumentasi untuk mengelola pengguna, grup, service principal, aplikasi, direktori, dan bahkan kebijakan Conditional Access — semuanya tanpa pencatatan log, yang berarti tindakan penyerang tidak akan terdeteksi sama sekali .

Kerentanan ini memiliki keterbatasan. Token refresh Azure Portal yang dicuri memiliki masa berlaku tetap 24 jam dan tidak dapat diperpanjang, sehingga membatasi jendela untuk persistensi . Penyerang harus sudah memiliki token refresh korban, menjadikan ini teknik eskalasi dan persistensi pasca-kompromi, bukan eksekusi kode jarak jauh . Meskipun demikian, Microsoft Security Response Center (MSRC) mengklasifikasikan bypass ini dengan tingkat keparahan sedang (medium severity) .

Respons Microsoft: Perbaikan di Sisi Server Tanpa CVE

NetSPI melaporkan masalah ini ke MSRC pada 17 Maret 2026 . MSRC mengklasifikasikannya sebagai kerentanan tingkat keparahan sedang dan menerapkan perbaikan di sisi server. Setelah perbaikan, pengujian mengonfirmasi bahwa alur NAA yang sebelumnya berhasil kini mengembalikan error blokir akses AADSTS53003 dengan benar saat kebijakan Conditional Access berlaku . Microsoft tidak memberikan nomor CVE untuk masalah khusus ini, dan perbaikan tidak memerlukan tindakan apa pun dari pelanggan .

Konteks Lebih Luas: Dua Celah Bypass Conditional Access Diungkap di Hari yang Sama

Pada 22 Juni 2026, para peneliti mengungkapkan dua metode bypass Conditional Access Entra yang terpisah :

Perubahan Penegakan Conditional Access Microsoft yang Lebih Luas di Tahun 2026

Selain memperbaiki celah NAA, Microsoft secara progresif menutup celah penegakan Conditional Access sepanjang tahun 2026:

• 27 Maret 2026 – Juni 2026 (bertahap): Microsoft mengubah cara kebijakan CA yang menargetkan "Semua sumber daya" ditegakkan ketika kebijakan tersebut menyertakan pengecualian sumber daya. Sebelumnya, proses masuk yang hanya meminta scope OIDC dasar (seperti openid, profile, User.Read) dapat sepenuhnya melewati Conditional Access jika suatu kebijakan memiliki pengecualian sumber daya apa pun. Perubahan penegakan ini memastikan bahwa kebijakan dengan pengecualian tetap dievaluasi terhadap cakupan "Semua sumber daya" . Microsoft memberi tahu penyewa yang terdampak melalui entri Pusat Pesan MC1223829 .
• 15 Juni 2026: Microsoft mulai menerapkan penegakan scope baseline secara khusus untuk celah pengecualian sumber daya, menutup rute bypass token Graph yang diungkap Dirk-jan Molenaar .
• 31 Maret 2026: Microsoft memberlakukan pensiunnya autentikasi tanpa service principal untuk aplikasi multitenan non-Microsoft. Semua aplikasi harus melakukan autentikasi menggunakan service principal yang terdaftar; jika tidak, alur masuk akan gagal .
• Juni 2026: Microsoft mengumumkan pembaruan keamanan Entra ID yang lebih luas, termasuk mengganti Kontrol Kustom dengan MFA Eksternal, menerapkan Conditional Access secara konsisten selama pendaftaran kredensial, dan mewajibkan metode autentikasi yang terdaftar secara eksplisit untuk Self-Service Password Reset (SSPR) .

Poin Penting bagi Praktisi Keamanan

• Celah NAA telah diperbaiki di sisi server. Tidak ada tindakan dari sisi penyewa yang diperlukan untuk temuan spesifik NetSPI .
• Untuk celah pengecualian sumber daya, aktifkan opsi penegakan scope baseline di Pusat Admin Entra untuk memastikan evaluasi CA yang benar .
• Pantau kode error AADSTS53003, yang kini dengan benar memblokir pertukaran token berbasis NAA yang tidak sah .
• API ADIbizaUX yang tidak terdokumentasi dan dapat beroperasi tanpa pencatatan log masih menjadi perhatian — organisasi harus memantau log masuk Azure Portal dan pola penerbitan token dengan saksama .
• Dengan pensiunnya autentikasi tanpa service principal per 31 Maret 2026, pastikan semua aplikasi multi-penyewa memiliki service principal yang terdaftar .

Kerentanan: Bagaimana NAA Memungkinkan Penyerang Melewati Semua Kontrol

Nested App Authentication adalah mekanisme SSO (Single Sign-On) OAuth kustom Microsoft yang dirancang untuk memungkinkan aplikasi "induk", seperti Azure Portal, menjadi broker pertukaran token secara diam-diam untuk aplikasi anak (nested) tanpa meminta ulang pengguna . Mekanismenya bekerja dengan menyematkan parameter khusus (brk_client_id, brk_redirect_uri) ke dalam permintaan token OAuth standar ke login.microsoftonline.com .

Byrne menemukan bahwa mekanisme ini memiliki celah kritis. Kerentanan ini secara spesifik memengaruhi alur di mana klien ADIbizaUX — komponen manajemen IAM (Identity and Access Management) Azure Portal — menjadi broker untuk token refresh Azure Portal yang sudah ada, guna meminta token akses untuk Microsoft Graph API . Biasanya, pertukaran token refresh tunduk pada evaluasi Conditional Access. Namun, NetSPI menemukan bahwa saat menggunakan alur NAA dengan ADIbizaUX terhadap sumber daya Microsoft Graph, Conditional Access Policies tidak dievaluasi sama sekali . Token akses tetap diterbitkan tanpa memedulikan kebijakan yang telah dikonfigurasi. Dua ID klien ekstensi portal Microsoft Intune lainnya juga ditemukan menunjukkan perilaku bypass yang sama .

Skenario Serangan: Persistensi Setelah Kompromi Tanpa Deteksi

Serangan ini memerlukan kondisi awal yang spesifik — token refresh Azure Portal yang dicuri — tetapi sangat efektif untuk persistensi dan pergerakan lateral setelah kompromi awal . Skenarionya berlangsung dalam empat langkah:

1. Kompromi Awal: Penyerang terlebih dahulu mencuri token refresh Azure Portal yang valid, misalnya melalui phishing, serangan proxy adversary-in-the-middle (AITM) yang menargetkan login.microsoftonline.com, atau metode pencurian token lainnya .
2. Broker Token melalui NAA: Penyerang menggunakan token refresh Azure Portal yang dicuri dan alur broker NAA (melalui ADIbizaUX atau ekstensi portal Intune) untuk menukarnya secara diam-diam dengan token akses Microsoft Graph .
3. Melewati Semua Kontrol: Token Graph diterbitkan tanpa evaluasi Conditional Access sama sekali — tidak ada permintaan MFA, tidak ada pemeriksaan kepatuhan perangkat, tidak ada pembatasan lokasi — meskipun kebijakan tersebut telah dikonfigurasi secara eksplisit .
4. Persistensi dan Pergerakan Lateral: ADIbizaUX memiliki izin Graph yang telah disetujui secara luas dan mengekspos API yang tidak terdokumentasi untuk mengelola pengguna, grup, service principal, aplikasi, direktori, dan bahkan kebijakan Conditional Access — semuanya tanpa pencatatan log, yang berarti tindakan penyerang tidak akan terdeteksi sama sekali .

Kerentanan ini memiliki keterbatasan. Token refresh Azure Portal yang dicuri memiliki masa berlaku tetap 24 jam dan tidak dapat diperpanjang, sehingga membatasi jendela untuk persistensi . Penyerang harus sudah memiliki token refresh korban, menjadikan ini teknik eskalasi dan persistensi pasca-kompromi, bukan eksekusi kode jarak jauh . Meskipun demikian, Microsoft Security Response Center (MSRC) mengklasifikasikan bypass ini dengan tingkat keparahan sedang (medium severity) .

Respons Microsoft: Perbaikan di Sisi Server Tanpa CVE

NetSPI melaporkan masalah ini ke MSRC pada 17 Maret 2026 . MSRC mengklasifikasikannya sebagai kerentanan tingkat keparahan sedang dan menerapkan perbaikan di sisi server. Setelah perbaikan, pengujian mengonfirmasi bahwa alur NAA yang sebelumnya berhasil kini mengembalikan error blokir akses AADSTS53003 dengan benar saat kebijakan Conditional Access berlaku . Microsoft tidak memberikan nomor CVE untuk masalah khusus ini, dan perbaikan tidak memerlukan tindakan apa pun dari pelanggan .

Konteks Lebih Luas: Dua Celah Bypass Conditional Access Diungkap di Hari yang Sama

Pada 22 Juni 2026, para peneliti mengungkapkan dua metode bypass Conditional Access Entra yang terpisah :

Perubahan Penegakan Conditional Access Microsoft yang Lebih Luas di Tahun 2026

Selain memperbaiki celah NAA, Microsoft secara progresif menutup celah penegakan Conditional Access sepanjang tahun 2026:

• 27 Maret 2026 – Juni 2026 (bertahap): Microsoft mengubah cara kebijakan CA yang menargetkan "Semua sumber daya" ditegakkan ketika kebijakan tersebut menyertakan pengecualian sumber daya. Sebelumnya, proses masuk yang hanya meminta scope OIDC dasar (seperti openid, profile, User.Read) dapat sepenuhnya melewati Conditional Access jika suatu kebijakan memiliki pengecualian sumber daya apa pun. Perubahan penegakan ini memastikan bahwa kebijakan dengan pengecualian tetap dievaluasi terhadap cakupan "Semua sumber daya" . Microsoft memberi tahu penyewa yang terdampak melalui entri Pusat Pesan MC1223829 .
• 15 Juni 2026: Microsoft mulai menerapkan penegakan scope baseline secara khusus untuk celah pengecualian sumber daya, menutup rute bypass token Graph yang diungkap Dirk-jan Molenaar .
• 31 Maret 2026: Microsoft memberlakukan pensiunnya autentikasi tanpa service principal untuk aplikasi multitenan non-Microsoft. Semua aplikasi harus melakukan autentikasi menggunakan service principal yang terdaftar; jika tidak, alur masuk akan gagal .
• Juni 2026: Microsoft mengumumkan pembaruan keamanan Entra ID yang lebih luas, termasuk mengganti Kontrol Kustom dengan MFA Eksternal, menerapkan Conditional Access secara konsisten selama pendaftaran kredensial, dan mewajibkan metode autentikasi yang terdaftar secara eksplisit untuk Self-Service Password Reset (SSPR) .

Poin Penting bagi Praktisi Keamanan

• Celah NAA telah diperbaiki di sisi server. Tidak ada tindakan dari sisi penyewa yang diperlukan untuk temuan spesifik NetSPI .
• Untuk celah pengecualian sumber daya, aktifkan opsi penegakan scope baseline di Pusat Admin Entra untuk memastikan evaluasi CA yang benar .
• Pantau kode error AADSTS53003, yang kini dengan benar memblokir pertukaran token berbasis NAA yang tidak sah .
• API ADIbizaUX yang tidak terdokumentasi dan dapat beroperasi tanpa pencatatan log masih menjadi perhatian — organisasi harus memantau log masuk Azure Portal dan pola penerbitan token dengan saksama .
• Dengan pensiunnya autentikasi tanpa service principal per 31 Maret 2026, pastikan semua aplikasi multi-penyewa memiliki service principal yang terdaftar .