Microsoft Entra ID 漏洞利用 Nested App Authentication 繞過 MFA 所有條件存取政策

2026 年 6 月 22 日，NetSPI 研究員 Thomas Byrne 公開揭露咗一個喺 Microsoft Entra ID 嘅 Nested App Authentication (NAA) 框架（又叫 BroCI）入面嘅漏洞，呢個漏洞俾攻擊者有機會繞過 任何 Conditional Access Policy (CAP)，包括 MFA 要求、裝置合規檢查，甚至係位置限制 。Microsoft 將呢個問題列為中等嚴重性，並喺伺服器端進行咗修補。不過，公開嘅同一日仲有另一個獨立嘅繞過方法被揭露，再加上 Microsoft 一系列嘅執行政策改動，令到呢件事喺身份安全領域引起好大關注。

漏洞詳情：NAA 點樣繞過所有控制？

Nested App Authentication 係 Microsoft 自家嘅 OAuth 單一登入 (SSO) 機制，專門俾「主機」應用程式（例如 Azure Portal）靜靜雞幫佢裏面嘅子應用程式處理 Token 交換，而唔需要再叫用戶重新登入 。佢嘅運作方式係將特別嘅參數（brk_client_id 同 brk_redirect_uri）嵌入標準嘅 OAuth Token 請求入面，然後送去 login.microsoftonline.com 。

Byrne 發現呢個機制有個嚴重缺陷。呢個漏洞特別影響到 ADIbizaUX 用戶端（即係 Azure Portal 嘅 IAM 管理元件）用Azure Portal嘅 Refresh Token 去換取 Microsoft Graph API 嘅 Access Token 嘅流程 。正常情況下，Refresh Token 嘅交換係要經過 Conditional Access 評估嘅，但 NetSPI 發現如果用 ADIbizaUX 經 NAA 流程去攞 Microsoft Graph Resource 嘅 Token，Conditional Access Policies 係完全唔會被評估 。就算你 set 咗 MFA、裝置合規或者其他政策，佢都會照樣俾個 Token 你。另外有兩個 Microsoft Intune portal extension 嘅用戶端 ID 都有同樣嘅繞過問題 。

攻擊情境：入侵後嘅持久潛伏

要進行呢個攻擊，首先要有一個先決條件——偷到 Azure Portal 嘅 Refresh Token。不過對於入侵後要持久潛伏同橫向移動嚟講，呢個方法係好有效嘅 。成個攻擊流程大概分四步：

1. 第一步：入侵 攻擊者首先要偷到一個有效嘅 Azure Portal Refresh Token，方法可以係釣魚攻擊、中間人 (AITM) Proxy 攻擊（針對 login.microsoftonline.com）或者其他偷 Token 嘅手法 。
2. 第二步：透過 NAA 交換 Token 攻擊者用偷返嚟嘅 Azure Portal Refresh Token，透過 NAA 交換流程（用 ADIbizaUX 或者 Intune portal extensions）靜靜雞換一個 Microsoft Graph Access Token 。
3. 第三步：繞過所有控制 呢個 Graph Token 係 完全唔經任何 Conditional Access 評估 就俾出嚟嘅——唔使 MFA、唔使裝置檢查、唔理位置限制，就算你 set 咗政策都冇用 。
4. 第四步：持久潛伏同橫向移動 ADIbizaUX 本身有好多預先授權嘅 Graph 權限，仲有未公開嘅 API 可以用嚟管理用戶、群組、服務主體、應用程式、目錄，甚至係 Conditional Access 政策——所有操作都 唔會記錄喺 Log 入面，即係話攻擊者做嘅嘢完全睇唔到 。

咁呢個漏洞有冇限制？有嘅。偷返嚟嘅 Azure Portal Refresh Token 嘅有效期得 24 小時，而且唔可以續期，所以持久潛伏嘅視窗有限 。攻擊者一定要已經有受害者嘅 Refresh Token 先得，所以呢個係一個入侵後嘅權限提升同持久潛伏技巧，唔係遙距執行代碼 。不過即使係咁，Microsoft 嘅安全回應中心 (MSRC) 仍然將呢個漏洞評為中等嚴重性 。

Microsoft 嘅回應：伺服器端修復，冇 CVE

NetSPI 喺 2026 年 3 月 17 日 向 MSRC 報告咗呢個問題 。MSRC 將佢列為中等嚴重性嘅漏洞，並喺伺服器端部署咗修復方案。修復後嘅測試顯示，之前成功繞過嘅 NAA 流程，而家會正確地回傳 AADSTS53003 存取被拒嘅錯誤，表示 Conditional Access 政策成功攔截 。Microsoft 並冇為呢個特定問題分配 CVE 編號，而修復亦唔需要客戶做任何嘢 。

更大嘅背景：同日公開兩個 Conditional Access 繞過方法

喺 2026 年 6 月 22 日，研究員同一日揭露咗 兩個唔同 嘅 Entra Conditional Access 繞過方法 ：

發現	來源	機制	Microsoft 回應
NAA / BroCI 繞過	NetSPI (Thomas Byrne)	濫用 Nested App Authentication 嘅 Token 交換流程，經 ADIbizaUX 同 Intune portal extensions	MSRC 中等嚴重性修復；而家會回傳 AADSTS53003
Resource Exclusion 繞過	Dirk-jan Molenaar (dirkjanm.io)	指定「所有資源」但排除至少一個資源嘅政策，可以用基本 OIDC/Directory 權限繞過 Graph Token 檢查	Microsoft 確認問題，並由 2026 年 6 月 15 日 開始推出 Baseline Scope Enforcement；管理員可以喺 Entra Admin Center 提早啟用

Microsoft 喺 2026 年嘅其他 Conditional Access 執行政策改動

除咗修補 NAA 繞過之外，Microsoft 喺 2026 年仲不斷收緊 Conditional Access 嘅執行漏洞：

• 2026 年 3 月 27 日至 6 月 (分階段進行)：Microsoft 改變咗點樣執行指定「所有資源」但同時又有資源排除嘅 Conditional Access 政策。之前如果用戶要求嘅只係基本 OIDC 權限（例如 openid、profile、User.Read），而政策又有任何資源排除嘅話，其實可以完全繞過 Conditional Access。呢個改動就確保有排除嘅政策仍然會針對「所有資源」呢個範圍進行評估 。Microsoft 透過 Message Center 嘅 MC1223829 通知受影響嘅租戶 。

• 2026 年 6 月 15 日：Microsoft 開始執行 Baseline Scope Enforcement，專門針對 Dirk-jan Molenaar 揭露嗰個 Resource Exclusion 繞過方法，封堵咗 Graph Token 嘅繞過途徑 。

• 2026 年 3 月 31 日：Microsoft 執行咗 取消無服務主體驗證 (service principal-less authentication) 嘅規定，針對非 Microsoft 嘅多租戶應用程式。所有應用程式必須用已註冊嘅服務主體嚟驗證；否則登入流程會失敗 。

• 2026 年 6 月：Microsoft 公佈咗更廣泛嘅 Entra ID 安全更新，包括用 External MFA 取代 Custom Controls、要求喺 Credential Registration 期間一致執行 Conditional Access，同埋要求 Self-Service Password Reset (SSPR) 要用明確註冊嘅驗證方法 。

管理員要做嘅事

• NAA 繞過問題已經喺伺服器端修復。管理員唔需要特別為 NetSPI 呢個發現做任何嘢 。
• 至於 Resource Exclusion 繞過，建議喺 Entra Admin Center 啟用 Baseline Scope Enforcement 選項，確保 Conditional Access 評估正常 。
• 留意 AADSTS53003 錯誤碼，呢個表示而家成功封堵咗未經授權嘅 NAA Token 交換 。
• ADIbizaUX 嘅未公開 API 可以唔記錄 Log 就進行操作，呢個仍然係一個風險——建議機構要密切監察 Azure Portal 嘅登入記錄同 Token 發出模式 。
• 由 2026 年 3 月 31 日起，無服務主體嘅驗證已經取消，請確保所有多租戶應用程式都有註冊服務主體 。