Серьёзный обход политик условного доступа Microsoft Entra ID через Nested App Authentication

22 июня 2026 года исследователь NetSPI Томас Бирн (Thomas Byrne) публично раскрыл уязвимость в механизме Nested App Authentication (NAA) — также известном как BroCI — в Microsoft Entra ID, которая позволяла злоумышленникам обойти любую политику условного доступа (Conditional Access Policy, CAP), включая требования MFA, проверки на соответствие устройств и ограничения по местоположению . Microsoft исправила эту уязвимость на стороне сервера, классифицировав её как проблему средней степени серьезности. Однако это раскрытие стало значимым событием в сфере безопасности идентификации, так как было опубликовано одновременно со вторым, отдельным методом обхода, а также серией изменений в принудительном применении политик от Microsoft.

Уязвимость: как NAA позволяла обходить все средства контроля

Nested App Authentication — это собственный механизм единого входа (SSO) Microsoft на основе OAuth, предназначенный для того, чтобы «головное» приложение (например, Портал Azure) могло незаметно для пользователя выступать посредником при обмене токенами для вложенных дочерних приложений, не запрашивая повторную аутентификацию . Он работает путем внедрения специальных параметров (brk_client_id, brk_redirect_uri) в стандартные OAuth-запросы токенов к login.microsoftonline.com .

Бирн обнаружил, что этот механизм имеет критический недостаток. Уязвимость особенно затрагивала потоки, в которых ADIbizaUX — компонент управления IAM на Портале Azure — выступал посредником для кэшированного refresh-токена Портала Azure, запрашивая токен доступа к Microsoft Graph API . В обычной ситуации обмен refresh-токенов подлежит оценке условного доступа, но NetSPI выяснила, что при использовании потока NAA с ADIbizaUX для ресурса Microsoft Graph политики условного доступа вообще не оценивались . Токен доступа выдавался независимо от настроенных политик. Было также обнаружено, что два дополнительных идентификатора клиента расширений портала Microsoft Intune демонстрируют такое же поведение обхода .

Сценарий атаки: пост-компрометационное закрепление без обнаружения

Атака требует определенного предусловия — краденого refresh-токена Портала Azure — но чрезвычайно эффективна для закрепления и латерального перемещения после компрометации . Сценарий разворачивается в четыре этапа:

1. Первоначальная компрометация: Злоумышленник сначала получает действительный refresh-токен Портала Azure, например, через фишинг, атаки типа «злоумышленник посередине» (AITM), нацеленные на login.microsoftonline.com, или другие методы кражи токенов .
2. Посредничество токенов через NAA: Используя украденный refresh-токен Портала Azure и поток посредничества NAA (через ADIbizaUX или расширения портала Intune), злоумышленник незаметно обменивает его на токен доступа к Microsoft Graph .
3. Обход всех средств контроля: Токен Graph выдается без какой-либо оценки условного доступа — без запроса MFA, без проверки соответствия устройства, без ограничения по местоположению, даже если эти политики явно настроены .
4. Закрепление и латеральное перемещение: ADIbizaUX имеет широкие предварительно согласованные разрешения Graph и предоставляет недокументированные API для управления пользователями, группами, субъектами-службами, приложениями, каталогами и даже самими политиками условного доступа — причем без какого-либо логирования, что делает действия полностью незаметными .

Уязвимость имеет ограничения. Украденный refresh-токен Портала Azure имеет фиксированное время жизни — 24 часа и не подлежит обновлению, что ограничивает окно закрепления . Злоумышленник уже должен иметь refresh-токен жертвы, что делает эту технику методом повышения привилегий и закрепления после компрометации, а не удаленным выполнением кода . Тем не менее, Центр реагирования на угрозы Microsoft (MSRC) классифицировал обход как угрозу средней степени серьезности .

Реакция Microsoft: исправление на стороне сервера без CVE

NetSPI сообщила о проблеме в MSRC 17 марта 2026 года . MSRC классифицировал ее как уязвимость средней степени серьезности и развернул исправление на стороне сервера. Тестирование после установки исправления подтвердило, что ранее успешные потоки NAA теперь корректно возвращают ошибки блокировки доступа AADSTS53003, когда применяется политика условного доступа . Microsoft не присвоила данной проблеме номер CVE, и исправление не требовало никаких действий со стороны клиента .

Более широкий контекст: два метода обхода условного доступа, раскрытые в один день

22 июня 2026 года исследователи раскрыли два отдельных метода обхода условного доступа Entra :

Находка	Источник	Механизм	Реакция Microsoft
Обход NAA / BroCI	NetSPI (Томас Бирн)	Злоупотребление посредничеством токенов Nested App Authentication через ADIbizaUX и расширения портала Intune	Исправление MSRC средней степени серьезности; теперь возвращает AADSTS53003
Обход через исключение ресурсов	Дирк-ян Моленар (dirkjanm.io)	Политики, нацеленные на «Все ресурсы» хотя бы с одним исключенным ресурсом, можно было обойти для токенов Graph, используя только базовые области OIDC/каталога	Microsoft подтвердила и начала поэтапное внедрение принудительного применения базовых областей (baseline scope enforcement) с 15 июня 2026 года; досрочное включение доступно через Центр администрирования Entra

Более широкие изменения в принудительном применении условного доступа Microsoft в 2026 году

В дополнение к исправлению обхода NAA, Microsoft в течение 2026 года постепенно закрывает пробелы в принудительном применении условного доступа:

• 27 марта 2026 г. – июнь 2026 г. (поэтапно): Microsoft изменила способ применения политик условного доступа, нацеленных на «Все ресурсы», когда эти политики включают исключения ресурсов. Ранее входы в систему, запрашивающие только базовые области OIDC (например, openid, profile, User.Read), могли полностью обходить условный доступ, если в политике было какое-либо исключение ресурса. Изменение гарантирует, что политики с исключениями по-прежнему будут оцениваться для области «Все ресурсы» . Microsoft уведомила затронутых клиентов через запись Центра сообщений MC1223829 .

• 15 июня 2026 г.: Microsoft начала принудительно применять базовые области (baseline scope enforcement) специально для обхода через исключение ресурсов, закрыв путь обхода токенов Graph, раскрытый Дирком-яном Моленаром .

• 31 марта 2026 г.: Microsoft обеспечила прекращение поддержки аутентификации без субъекта-службы (service principal-less authentication) для немультитенантных приложений, не принадлежащих Microsoft. Все приложения должны проходить аутентификацию с использованием зарегистрированного субъекта-службы; в противном случае потоки входа будут завершаться ошибкой .

• Июнь 2026 г.: Microsoft объявила о более широких обновлениях безопасности Entra ID, включая замену пользовательских элементов управления (Custom controls) на внешнюю MFA, последовательное применение условного доступа во время регистрации учетных данных и требование явно зарегистрированных методов аутентификации для самостоятельного сброса пароля (SSPR) .

Ключевые выводы для специалистов по защите

• Обход NAA исправлен на стороне сервера. Никаких действий на стороне клиента для конкретной находки NetSPI не требуется .
• Для обхода через исключение ресурсов включите опцию baseline scope enforcement в Центре администрирования Entra, чтобы обеспечить правильную оценку условного доступа .
• Отслеживайте код ошибки AADSTS53003, который теперь корректно блокирует несанкционированные обмены токенами на основе NAA .
• Недокументированные API ADIbizaUX, которые могут работать без логирования, остаются проблемой — организациям следует внимательно отслеживать журналы входа на Портал Azure и шаблоны выдачи токенов .
• В связи с прекращением поддержки аутентификации без субъекта-службы с 31 марта 2026 года убедитесь, что все мультитенантные приложения имеют зарегистрированные субъекты-службы .