Критична вразливість в Microsoft Entra ID: Nested App Authentication дозволяла обійти MFA та всі політики умовного доступу

22 червня 2026 року дослідник NetSPI Томас Бірн публічно розкрив вразливість у фреймворку Nested App Authentication (NAA) — також відомому як BroCI — у Microsoft Entra ID. Ця вразливість дозволяла зловмисникам обійти будь-яку політику умовного доступу (Conditional Access Policy, CAP), включно з вимогами багатофакторної автентифікації (MFA), перевіркою сумісності пристроїв та геолокаційними обмеженнями . Microsoft виправила проблему на стороні сервера, класифікувавши її як вразливість середнього ступеня тяжкості. Однак це розкриття стало знаковою подією для безпеки ідентифікацій, оскільки воно було оприлюднене разом з іншим окремим методом обходу та серією змін у примусовому застосуванні політик від Microsoft.

Як працювала вразливість: NAA як інструмент обходу всіх контролів

Nested App Authentication — це власний механізм єдиного входу (SSO) від Microsoft на основі OAuth. Він призначений для того, щоб «основна» програма (наприклад, Azure Portal) могла безшумно виступати посередником в обміні токенами для вкладених дочірніх програм, не вимагаючи повторної автентифікації користувача . Механізм працює шляхом вбудовування спеціальних параметрів (brk_client_id, brk_redirect_uri) у стандартні OAuth-запити на отримання токенів до login.microsoftonline.com .

Бірн виявив критичну ваду в цьому механізмі. Вразливість конкретно стосувалася потоків, де клієнт ADIbizaUX — компонент управління IAM у Azure Portal — використовував кешований refresh-токен Azure Portal для запиту токена доступу до Microsoft Graph API . Зазвичай обмін refresh-токенів підлягає оцінці умовного доступу, але NetSPI виявили, що при використанні потоку NAA з ADIbizaUX для ресурсу Microsoft Graph політики умовного доступу взагалі не оцінювалися . Токен доступу видавався незалежно від будь-яких налаштованих політик. Додаткові два ідентифікатори клієнтів розширень порталу Microsoft Intune також демонстрували таку саму поведінку обходу .

Сценарій атаки: стійке закріплення після компрометації без виявлення

Для атаки потрібна певна передумова — викрадений refresh-токен Azure Portal — але вона дуже ефективна для закріплення та бічного переміщення вже після компрометації . Сценарій розгортається в чотири кроки:

1. Початкова компрометація: Зловмисник спочатку викрадає дійсний refresh-токен Azure Portal, наприклад, через фішинг, атаки типу «посередник» (AITM), націлені на login.microsoftonline.com, або інші методи крадіжки токенів .
2. Посередництво токенів через NAA: Зловмисник використовує викрадений refresh-токен Azure Portal та потік посередництва NAA (через ADIbizaUX або розширення порталу Intune), щоб безшумно обміняти його на токен доступу до Microsoft Graph .
3. Обхід усіх контролів: Токен Graph видається без будь-якої оцінки умовного доступу — без запиту MFA, без перевірки сумісності пристрою, без обмежень за місцезнаходженням — навіть якщо ці політики явно налаштовані .
4. Закріплення та бічне переміщення: ADIbizaUX має широкі попередньо надані дозволи Graph та відкриває недокументовані API для керування користувачами, групами, суб'єктами-службами, програмами, каталогами і навіть політиками умовного доступу — і все це без логування, тобто дії залишаються повністю непоміченими .

Вразливість має обмеження. Викрадений refresh-токен Azure Portal має фіксований час життя 24 години та не підлягає оновленню, що обмежує вікно закріплення . Зловмисник уже повинен мати refresh-токен жертви, що робить цю техніку методом ескалації та закріплення після компрометації, а не віддаленим виконанням коду . Тим не менш, Microsoft Security Response Center (MSRC) класифікувала цей обхід як середньої тяжкості .

Реакція Microsoft: виправлення на стороні сервера без CVE

NetSPI повідомила про проблему до MSRC 17 березня 2026 року . MSRC класифікував її як вразливість середньої тяжкості та впровадив виправлення на стороні сервера. Після встановлення виправлення тестування підтвердило, що раніше успішні потоки NAA тепер правильно повертають помилки блокування доступу AADSTS53003, коли застосовується політика умовного доступу . Microsoft не присвоїла цій конкретній проблемі номер CVE, і виправлення не вимагало жодних дій з боку клієнта .

Ширший контекст: два методи обходу умовного доступу, оприлюднені в один день

22 червня 2026 року дослідники оприлюднили два окремі методи обходу умовного доступу в Entra :

Результат дослідження	Джерело	Механізм	Реакція Microsoft
Обхід через NAA / BroCI	NetSPI (Томас Бірн)	Зловживання посередництвом токенів NAA через ADIbizaUX та розширення порталу Intune	Виправлення MSRC середньої тяжкості; тепер повертає помилку AADSTS53003
Обхід через виключення ресурсів	Дірк-ян Моленаар (dirkjanm.io)	Політики, націлені на «Усі ресурси» з принаймні одним виключеним ресурсом, можна було обійти для токенів Graph, використовуючи лише базові дозволи OIDC/каталогу	Microsoft визнала та почала впроваджувати примусове застосування базових дозволів з 15 червня 2026 року; дострокове включення доступне в Центрі адміністрування Entra

Ширші зміни в примусовому застосуванні політик умовного доступу від Microsoft у 2026 році

Окрім виправлення обходу NAA, Microsoft протягом 2026 року поступово закриває прогалини в примусовому застосуванні умовного доступу:

• 27 березня 2026 року – червень 2026 року (поетапно): Microsoft змінила спосіб застосування політик умовного доступу, націлених на «Усі ресурси», коли ці політики мають виключення ресурсів. Раніше входи, які запитували лише базові дозволи OIDC (наприклад, openid, profile, User.Read), могли повністю обійти умовний доступ, якщо політика мала будь-яке виключення ресурсу. Зміна забезпечує, щоб політики з виключеннями все одно оцінювалися для обсягу «Усі ресурси» . Microsoft повідомила постраждалі клієнтські середовища через запису в Центрі повідомлень MC1223829 .

• 15 червня 2026 року: Microsoft почала застосування примусового використання базових дозволів спеціально для обходу виключень ресурсів, закриваючи маршрут обходу токенів Graph, який оприлюднив Дірк-ян Моленаар .

• 31 березня 2026 року: Microsoft впровадила припинення підтримки автентифікації без суб'єкта-служби для багатоклієнтських програм, які не належать Microsoft. Усі програми повинні автентифікуватися за допомогою зареєстрованого суб'єкта-служби; інакше процеси входу будуть невдалими .

• Червень 2026 року: Microsoft оголосила про ширші оновлення безпеки Entra ID, включаючи заміну спеціальних контролів (Custom controls) на зовнішню MFA, послідовне застосування умовного доступу під час реєстрації облікових даних та вимогу явно зареєстрованих методів автентифікації для самостійного скидання пароля (SSPR) .

Ключові висновки для фахівців із безпеки

• Обхід через NAA виправлено на стороні сервера. Жодних дій на стороні клієнтського середовища для конкретного звіту NetSPI не потрібно .
• Для обходу через виключення ресурсів увімкніть опцію примусового застосування базових дозволів у Центрі адміністрування Entra, щоб забезпечити належну оцінку умовного доступу .
• Відстежуйте код помилки AADSTS53003, який тепер правильно блокує несанкціоновані обміни токенів на основі NAA .
• Недокументовані API ADIbizaUX, які можуть працювати без логування, залишаються проблемою — організації повинні ретельно відстежувати журнали входу до Azure Portal та патерни видачі токенів .
• З огляду на припинення підтримки автентифікації без суб'єкта-служби 31 березня 2026 року, переконайтеся, що всі багатоклієнтські програми мають зареєстровані суб'єкти-служби .