微软 Entra ID 嵌套应用认证漏洞：攻击者如何绕过 MFA 及所有条件访问策略

2026 年 6 月 22 日，NetSPI 研究员 Thomas Byrne 公开披露了微软 Entra ID 中 嵌套应用认证（Nested App Authentication，简称 NAA，也称 BroCI） 框架的一个严重漏洞。该漏洞允许攻击者绕过 任何 条件访问策略（CAP），包括多因素认证（MFA）、设备合规性检查和位置限制等核心安全控制措施 。微软已通过服务端更新修复了该问题，并将其评定为中等严重性。此次披露与另一独立绕过方法的发现同时发生，标志着身份安全领域的一个重大事件。

漏洞原理：NAA 如何让所有安全控制措施形同虚设

Nested App Authentication 是微软自定义的 OAuth 单点登录（SSO）机制。其设计初衷是允许“宿主”应用（如 Azure 门户）在不重复提示用户的情况下，为嵌套的子应用静默代理令牌交换 。其工作原理是在标准 OAuth 令牌请求中嵌入特殊参数 (brk_client_id、brk_redirect_uri)，并将请求发送至 login.microsoftonline.com 。

Byrne 发现该机制存在一个关键缺陷。该漏洞特别影响一种流程：当 ADIbizaUX 客户端（Azure 门户的 IAM 管理组件）利用缓存的 Azure 门户刷新令牌，为 Microsoft Graph API 请求访问令牌时，问题便会出现 。正常情况下，刷新令牌的交换过程会受到条件访问策略的评估。但 NetSPI 发现，当使用 ADIbizaUX 的 NAA 流向 Microsoft Graph 资源发起请求时，条件访问策略根本不会生效 。系统会无视所有已配置的策略，直接签发访问令牌。此外，还有两个 Microsoft Intune 门户扩展 客户端 ID 也存在同样的绕过行为 。

攻击场景：入侵后的隐蔽持久化

这种攻击需要一个特定的前提条件——窃取 Azure 门户的刷新令牌，但对于入侵后的持久化和横向移动来说非常有效 。攻击过程通常包含以下四个步骤：

1. 初始入侵：攻击者首先通过网络钓鱼、针对 login.microsoftonline.com 的中间人（AITM）代理攻击或其他令牌窃取方法，获取一个有效的 Azure 门户刷新令牌 。
2. 通过 NAA 进行令牌代理：攻击者使用窃取的 Azure 门户刷新令牌，通过 NAA 代理流程（经由 ADIbizaUX 或 Intune 门户扩展）静默地将其兑换为 Microsoft Graph 的访问令牌 。
3. 绕过所有控制：Graph 令牌的签发完全不经过任何条件访问策略评估——即使这些策略已明确配置了 MFA、设备合规或位置限制，也统统被绕过 。
4. 持久化与横向移动：ADIbizaUX 拥有广泛预授权的 Graph 权限，并暴露了用于管理用户、组、服务主体、应用程序、目录乃至条件访问策略的未公开 API。最关键的是，这些操作不会产生任何日志记录，意味着所有行动完全隐匿 。

该漏洞存在局限性。被窃取的 Azure 门户刷新令牌的有效期固定为 24 小时且无法续期，这限制了攻击者的持久化窗口 。攻击者必须先拥有受害者的刷新令牌，因此这本质上是一种入侵后的权限提升和持久化技术，而非远程代码执行漏洞 。尽管如此，微软安全响应中心（MSRC）仍将其评定为 中等严重性 。

微软的回应：服务端修复，无 CVE 编号

NetSPI 于 2026 年 3 月 17 日 向 MSRC 报告了此问题 。MSRC 将其归类为中等严重性漏洞，并部署了服务端修复。修复后的测试证实，之前成功利用的 NAA 流程现在会在条件访问策略适用时，正确地返回 AADSTS53003 的访问被阻止错误 。微软未为该具体问题分配 CVE 编号，此次修复也无需客户采取任何操作 。

更广泛的背景：同一天披露的两个条件访问绕过漏洞

2026 年 6 月 22 日，研究人员在同一天披露了 两个独立的 Entra 条件访问绕过方法 ：

发现	来源	机制	微软的回应
NAA / BroCI 绕过	NetSPI (Thomas Byrne)	滥用 Nested App Authentication 令牌代理流程，通过 ADIbizaUX 和 Intune 门户扩展实现绕过	MSRC 已修复（中等严重性）；现在返回 AADSTS53003 错误
资源排除绕过	Dirk-jan Molenaar (dirkjanm.io)	针对“所有资源”且至少包含一个排除资源的策略，可通过仅请求基本的 OIDC/目录范围来绕过，从而获取 Graph 令牌	微软确认并从 2026 年 6 月 15 日 起开始推行基线范围强制策略；可通过 Entra 管理中心提前启用

微软 2026 年更广泛的条件访问策略强制变更

除修复 NAA 绕过漏洞外，微软在 2026 年还逐步收紧了多个条件访问策略强制执行的漏洞：

• 2026 年 3 月 27 日 – 6 月（分阶段）：微软改变了针对“所有资源”且包含资源排除的策略的执行方式。此前，如果策略包含任何资源排除项，仅请求基本 OIDC 范围（如 openid、profile、User.Read）的登录行为可以完全绕过条件访问策略。此次变更确保带有排除项的策略仍能针对“所有资源”范围进行评估 。微软通过消息中心条目 MC1223829 通知了受影响的租户 。
• 2026 年 6 月 15 日：微软开始强制执行针对资源排除绕过的 基线范围强制策略，从而关闭了 Dirk-jan Molenaar 所披露的 Graph 令牌绕过路径 。
• 2026 年 3 月 31 日：微软强制实施了 非微软多租户应用的无服务主体认证方式的退役。所有应用都必须使用注册的服务主体进行身份验证，否则登录流程将失败 。
• 2026 年 6 月：微软宣布了更广泛的 Entra ID 安全更新，包括用外部 MFA 替换自定义控件、在凭据注册期间强制执行条件访问策略，以及要求自助密码重置必须使用显式注册的身份验证方法 。

对防御者的关键建议

• NAA 绕过漏洞已被服务端修复。对于 NetSPI 的特定发现，租户端无需采取任何行动 。
• 针对资源排除绕过，请在 Entra 管理中心启用 基线范围强制策略，以确保条件访问策略的正确评估 。
• 监控 AADSTS53003 错误代码，该错误现已能正确阻止未经授权的基于 NAA 的令牌交换 。
• ADIbizaUX 未公开的 API 缺乏日志记录的问题仍然令人担忧——组织应密切监控 Azure 门户的登录日志和令牌发放模式 。
• 随着自 2026 年 3 月 31 日起无服务主体认证方式的退役，请确保所有多租户应用都已注册服务主体 。