Microsoft Entra ID-kwetsbaarheid omzeilt MFA en al het Conditional Access-beleid via Nested App Authentication

Op 22 juni 2026 maakte NetSPI-onderzoeker Thomas Byrne een kwetsbaarheid openbaar in het Nested App Authentication (NAA)-raamwerk van Microsoft Entra ID – ook wel BroCI genoemd – waarmee aanvallers elk Conditional Access-beleid (CAP) konden omzeilen, inclusief MFA-vereisten, apparaatcompatibiliteitscontroles en locatiegebaseerde beperkingen . De fout werd door Microsoft aan de serverzijde gerepareerd als een probleem van gemiddelde ernst, maar de openbaarmaking markeerde een belangrijk moment voor identiteitsbeveiliging, omdat het gelijktijdig werd onthuld met een tweede, aparte omzeilingsmethode en een reeks handhavingswijzigingen van Microsoft.

De kwetsbaarheid: hoe NAA alle controles omzeilde

Nested App Authentication is Microsofts aangepaste OAuth single sign-on (SSO)-mechanisme dat een 'host'-applicatie, zoals de Azure Portal, in staat stelt om stilletjes tokenuitwisselingen te bemiddelen voor geneste onderliggende applicaties zonder de gebruiker opnieuw om toestemming te vragen . Het werkt door speciale parameters (brk_client_id, brk_redirect_uri) in te bedden in standaard OAuth-tokenverzoeken aan login.microsoftonline.com .

Byrne ontdekte dat dit mechanisme een kritieke fout bevatte. De kwetsbaarheid was specifiek van invloed op stromen waarbij de ADIbizaUX-client – de IAM-beheercomponent van de Azure Portal – een gecached Azure Portal-vernieuwingstoken gebruikte om een toegangstoken aan te vragen voor de Microsoft Graph API . Normaal gesproken zijn vernieuwingstokenuitwisselingen onderworpen aan Conditional Access-evaluatie, maar NetSPI ontdekte dat bij gebruik van de NAA-stroom met ADIbizaUX tegen de Microsoft Graph-resource Conditional Access-beleidsregels helemaal niet werden geëvalueerd . Er werd een toegangstoken verleend, ongeacht de geconfigureerde beleidsregels. Twee extra Microsoft Intune-portaaluitbreidings-client-ID's vertoonden hetzelfde omzeilingsgedrag .

Het aanvalsscenario: persistentie na compromittering zonder detectie

De aanval vereist een specifieke voorwaarde – een gestolen Azure Portal-vernieuwingstoken – maar is zeer effectief voor persistentie en laterale beweging na een eerste compromittering . Het scenario verloopt in vier stappen:

1. Eerste compromittering: Een aanvaller steelt eerst een geldig Azure Portal-vernieuwingstoken, bijvoorbeeld via phishing, adversary-in-the-middle (AITM)-proxy-aanvallen gericht op login.microsoftonline.com of andere methoden voor tokendiefstal .
2. Tokenbemiddeling via NAA: De aanvaller gebruikt het gestolen Azure Portal-vernieuwingstoken en de NAA-bemiddelingsstroom (via ADIbizaUX of de Intune-portaaluitbreidingen) om het stilletjes in te wisselen voor een Microsoft Graph-toegangstoken .
3. Omzeiling van alle controles: Het Graph-token wordt zonder enige Conditional Access-evaluatie verleend – geen MFA-verzoek, geen apparaatcompatibiliteitscontrole, geen locatiebeperking – zelfs als die beleidsregels expliciet zijn geconfigureerd .
4. Persistentie en laterale beweging: ADIbizaUX heeft brede vooraf geautoriseerde Graph-machtigingen en stelt ongedocumenteerde API's bloot voor het beheren van gebruikers, groepen, serviceprincipals, applicaties, directories en zelfs Conditional Access-beleidsregels – allemaal zonder logging, waardoor acties volledig onopgemerkt blijven .

De kwetsbaarheid heeft beperkingen. Het gestolen Azure Portal-vernieuwingstoken heeft een vaste levensduur van 24 uur en is niet hernieuwbaar, wat het persistentievenster beperkt . De aanvaller moet al een vernieuwingstoken van een slachtoffer hebben, waardoor dit een techniek voor escalatie en persistentie na compromittering is, geen externe code-uitvoering . Niettemin werd de omzeiling door het Microsoft Security Response Center (MSRC) geclassificeerd als gemiddelde ernst .

Reactie van Microsoft: server-side fix zonder CVE

NetSPI meldde het probleem aan MSRC op 17 maart 2026 . MSRC classificeerde het als een kwetsbaarheid van gemiddelde ernst en implementeerde een fix aan de serverzijde. Uit tests na de patch bleek dat de voorheen succesvolle NAA-stromen nu correct AADSTS53003-fouten voor toegangsblokkering retourneren wanneer een Conditional Access-beleid van toepassing is . Microsoft heeft geen CVE toegewezen voor dit specifieke probleem en de fix vereiste geen actie van de klant .

Bredere context: twee Conditional Access-omzeilingen op dezelfde dag onthuld

Op 22 juni 2026 onthulden onderzoekers twee afzonderlijke Entra Conditional Access-omzeilingsmethoden op dezelfde dag :

Bevinding	Bron	Mechanisme	Reactie Microsoft
NAA / BroCI-omzeiling	NetSPI (Thomas Byrne)	Misbruik van Nested App Authentication-tokenbemiddeling via ADIbizaUX en Intune-portaaluitbreidingen	MSRC-fix van gemiddelde ernst; retourneert nu AADSTS53003
Omzeiling van resource-uitsluiting	Dirk-jan Molenaar (dirkjanm.io)	Beleid gericht op 'Alle resources' met ten minste één uitgesloten resource kon worden omzeild voor Graph-tokens met alleen baseline OIDC-/directory-scopes	Microsoft erkende en begon met het uitrollen van baseline-scope-handhaving vanaf 15 juni 2026; vroege opt-in beschikbaar via Entra Admin Center

Microsofts bredere Conditional Access-handhavingswijzigingen in 2026

Naast het oplossen van de NAA-omzeiling, heeft Microsoft in de loop van 2026 voortdurend hiaten in de Conditional Access-handhaving gedicht:

• 27 maart 2026 – juni 2026 (gefaseerd): Microsoft wijzigde de manier waarop CA-beleid gericht op 'Alle resources' wordt gehandhaafd wanneer dat beleid resource-uitsluitingen bevat. Voorheen konden aanmeldingen die alleen baseline OIDC-scopes aanvragen (zoals openid, profile, User.Read) Conditional Access volledig omzeilen als een beleid een resource-uitsluiting had. De handhavingswijziging zorgt ervoor dat beleid met uitsluitingen nog steeds wordt geëvalueerd tegen de scope 'Alle resources' . Microsoft heeft getroffen tenants op de hoogte gesteld via Message Center-vermelding MC1223829 .

• 15 juni 2026: Microsoft begon met de handhaving van baseline-scope-handhaving specifiek voor de omzeiling van resource-uitsluitingen, waarmee de Graph-token-omzeilingsroute die Dirk-jan Molenaar onthulde, werd gedicht .

• 31 maart 2026: Microsoft handhaafde de uitfasering van serviceprincipal-loze authenticatie voor niet-Microsoft multitenant-toepassingen. Alle toepassingen moeten authenticeren met een geregistreerde serviceprincipal; anders zullen aanmeldingsstromen mislukken .

• Juni 2026: Microsoft kondigde bredere Entra ID-beveiligingsupdates aan, waaronder het vervangen van aangepaste controles door externe MFA, het consistent handhaven van Conditional Access tijdens registratie van referenties en het vereisen van expliciet geregistreerde authenticatiemethoden voor Self-Service Password Reset (SSPR) .

Belangrijkste aandachtspunten voor verdedigers

• De NAA-omzeiling is aan de serverzijde gerepareerd. Er is geen actie aan de tenantzijde nodig voor de specifieke NetSPI-bevinding .
• Schakel voor de omzeiling van resource-uitsluiting de optie baseline-scope-handhaving in het Entra Admin Center in om een juiste CA-evaluatie te garanderen .
• Houd de foutcode AADSTS53003 in de gaten, die nu correct ongeautoriseerde NAA-gebaseerde tokenuitwisselingen blokkeert .
• De ongedocumenteerde API's van ADIbizaUX die zonder logging kunnen werken, blijven een punt van zorg – organisaties moeten de aanmeldingslogboeken van de Azure Portal en tokenuitgiftepatronen nauwlettend in de gaten houden .
• Nu serviceprincipal-loze authenticatie sinds 31 maart 2026 is uitgefaseerd, moeten alle multitenant-apps geregistreerde serviceprincipals hebben .