Серьёзный обход политик условного доступа Microsoft Entra ID через Nested App Authentication

Бирн обнаружил, что этот механизм имеет критический недостаток. Уязвимость особенно затрагивала потоки, в которых ADIbizaUX — компонент управления IAM на Портале Azure — выступал посредником для кэшированного refresh-токена Портала Azure, запрашивая токен доступа к Microsoft Graph API . В обычной ситуации обмен refresh-токенов подлежит оценке условного доступа, но NetSPI выяснила, что при использовании потока NAA с ADIbizaUX для ресурса Microsoft Graph политики условного доступа вообще не оценивались . Токен доступа выдавался независимо от настроенных политик. Было также обнаружено, что два дополнительных идентификатора клиента расширений портала Microsoft Intune демонстрируют такое же поведение обхода .

Сценарий атаки: пост-компрометационное закрепление без обнаружения

Атака требует определенного предусловия — краденого refresh-токена Портала Azure — но чрезвычайно эффективна для закрепления и латерального перемещения после компрометации . Сценарий разворачивается в четыре этапа:

1. Первоначальная компрометация: Злоумышленник сначала получает действительный refresh-токен Портала Azure, например, через фишинг, атаки типа «злоумышленник посередине» (AITM), нацеленные на login.microsoftonline.com, или другие методы кражи токенов .
2. Посредничество токенов через NAA: Используя украденный refresh-токен Портала Azure и поток посредничества NAA (через ADIbizaUX или расширения портала Intune), злоумышленник незаметно обменивает его на токен доступа к Microsoft Graph .
3. Обход всех средств контроля: Токен Graph выдается без какой-либо оценки условного доступа — без запроса MFA, без проверки соответствия устройства, без ограничения по местоположению, даже если эти политики явно настроены .
4. Закрепление и латеральное перемещение: ADIbizaUX имеет широкие предварительно согласованные разрешения Graph и предоставляет недокументированные API для управления пользователями, группами, субъектами-службами, приложениями, каталогами и даже самими политиками условного доступа — причем без какого-либо логирования, что делает действия полностью незаметными .

Уязвимость имеет ограничения. Украденный refresh-токен Портала Azure имеет фиксированное время жизни — 24 часа и не подлежит обновлению, что ограничивает окно закрепления . Злоумышленник уже должен иметь refresh-токен жертвы, что делает эту технику методом повышения привилегий и закрепления после компрометации, а не удаленным выполнением кода . Тем не менее, Центр реагирования на угрозы Microsoft (MSRC) классифицировал обход как угрозу средней степени серьезности .

Реакция Microsoft: исправление на стороне сервера без CVE

NetSPI сообщила о проблеме в MSRC 17 марта 2026 года . MSRC классифицировал ее как уязвимость средней степени серьезности и развернул исправление на стороне сервера. Тестирование после установки исправления подтвердило, что ранее успешные потоки NAA теперь корректно возвращают ошибки блокировки доступа AADSTS53003, когда применяется политика условного доступа . Microsoft не присвоила данной проблеме номер CVE, и исправление не требовало никаких действий со стороны клиента .

Более широкий контекст: два метода обхода условного доступа, раскрытые в один день

22 июня 2026 года исследователи раскрыли два отдельных метода обхода условного доступа Entra :

Более широкие изменения в принудительном применении условного доступа Microsoft в 2026 году

В дополнение к исправлению обхода NAA, Microsoft в течение 2026 года постепенно закрывает пробелы в принудительном применении условного доступа:

• 27 марта 2026 г. – июнь 2026 г. (поэтапно): Microsoft изменила способ применения политик условного доступа, нацеленных на «Все ресурсы», когда эти политики включают исключения ресурсов. Ранее входы в систему, запрашивающие только базовые области OIDC (например, openid, profile, User.Read), могли полностью обходить условный доступ, если в политике было какое-либо исключение ресурса. Изменение гарантирует, что политики с исключениями по-прежнему будут оцениваться для области «Все ресурсы» . Microsoft уведомила затронутых клиентов через запись Центра сообщений MC1223829 .

• 15 июня 2026 г.: Microsoft начала принудительно применять базовые области (baseline scope enforcement) специально для обхода через исключение ресурсов, закрыв путь обхода токенов Graph, раскрытый Дирком-яном Моленаром .

• 31 марта 2026 г.: Microsoft обеспечила прекращение поддержки аутентификации без субъекта-службы (service principal-less authentication) для немультитенантных приложений, не принадлежащих Microsoft. Все приложения должны проходить аутентификацию с использованием зарегистрированного субъекта-службы; в противном случае потоки входа будут завершаться ошибкой .

• Июнь 2026 г.: Microsoft объявила о более широких обновлениях безопасности Entra ID, включая замену пользовательских элементов управления (Custom controls) на внешнюю MFA, последовательное применение условного доступа во время регистрации учетных данных и требование явно зарегистрированных методов аутентификации для самостоятельного сброса пароля (SSPR) .

Ключевые выводы для специалистов по защите

• Обход NAA исправлен на стороне сервера. Никаких действий на стороне клиента для конкретной находки NetSPI не требуется .
• Для обхода через исключение ресурсов включите опцию baseline scope enforcement в Центре администрирования Entra, чтобы обеспечить правильную оценку условного доступа .
• Отслеживайте код ошибки AADSTS53003, который теперь корректно блокирует несанкционированные обмены токенами на основе NAA .
• Недокументированные API ADIbizaUX, которые могут работать без логирования, остаются проблемой — организациям следует внимательно отслеживать журналы входа на Портал Azure и шаблоны выдачи токенов .
• В связи с прекращением поддержки аутентификации без субъекта-службы с 31 марта 2026 года убедитесь, что все мультитенантные приложения имеют зарегистрированные субъекты-службы .