Von null auf Admin: Token-Schwachstelle in Entra ID
Eine gravierende Schwachstelle in Microsofts Entra ID hätte es Angreifern ermöglicht, uneingeschränkten Zugriff auf beliebige Mandanten zu erlangen – ohne dabei Spuren zu hinterlassen. Ein Sicherheitsforscher deckte die Lücke auf und warnte vor gravierenden Defiziten in Microsofts interner Token-Architektur. Wie es zu diesem Szenario kam und warum selbst höchste Sicherheitsmaßnahmen wirkungslos gewesen wären.
Der Sicherheitsforscher Dirk-jan Mollema hat im Rahmen seiner Vorbereitung auf die Sicherheitskonferenzen Black Hat und DEF CON eine gravierende Schwachstelle in Microsofts Cloud-Identitätsdienst Entra ID (ehemals Azure AD) entdeckt. Die Lücke erlaubte es, sogenannte "Actor Tokens" zur vollständigen Kompromittierung beliebiger Mandanten zu verwenden – inklusive aller Nutzer, Rollen und Konfigurationen. Betroffen waren dabei nicht nur reguläre Benutzerkonten, sondern auch privilegierte Global Admins. Microsoft hat die Schwachstelle kurz nach der Meldung unter der Kennung CVE-2025-55241 geschlossen.
Nicht dokumentierte Tokens
Kern des Problems war ein Zusammenspiel zweier Faktoren: Zum einen existieren interne, nicht dokumentierte Tokens für dienstübergreifende Authentifizierung (Actor Tokens), die Microsofts Dienste für die Kommunikation untereinander verwenden. Zum anderen prüfte die veraltete Azure AD Graph API beim Einsatz dieser Tokens nicht, ob sie tatsächlich für den jeweiligen Zielmandanten ausgestellt wurden. Dadurch konnte ein Angreifer mit einem gültigen Token aus seinem eigenen Tenant als beliebiger Nutzer in einem anderen Tenant auftreten – ohne dass dafür eine Schwachstelle im Zielmandanten selbst vorliegen musste.
Besonders brisant: Diese Tokens entziehen sich nahezu jeder Kontrolle. Sie sind 24 Stunden gültig, können nicht widerrufen werden und umgehen Sicherheitsrichtlinien wie Conditional Access. Zudem erzeugt ihre Nutzung keine Logs im Zielmandanten – ein Umstand, der eine Kompromittierung besonders schwer nachweisbar macht. Selbst administrative Änderungen erscheinen im Audit-Log so, als wären sie von einem legitimen Global Admin durchgeführt worden. Laut Microsoft gibt es bislang keine Hinweise auf aktive Ausnutzung.
Einfache Mandantenübernahme
Zur vollständigen Mandantenübernahme mussten Angreifer lediglich die öffentliche Tenant-ID und eine sogenannte netId eines Nutzers kennen – beides Informationen, die sich entweder durch Brute Force oder aus öffentlich verfügbaren Token ableiten lassen. Über bestehende Gastverknüpfungen (B2B Trusts) konnte die Lücke zudem tenantübergreifend eskaliert werden: Ein kompromittierter Gastnutzer in einem Tenant reichte aus, um über mehrere Stationen hinweg Zugriff auf weitere Mandanten zu erhalten – darunter potenziell auch Microsoft selbst.
Microsoft hat die Schwachstelle nach eigener Aussage innerhalb weniger Tage nach Eingang der Meldung behoben. Die betroffene Azure AD Graph API wurde gegen den Einsatz solcher Tokens abgesichert, weitere Maßnahmen zur Eindämmung der veralteten Token-Mechanismen wurden angekündigt. Der Vorfall wirft jedoch grundlegende Fragen zum Design interner Authentifizierungsprozesse in Cloud-Umgebungen auf – insbesondere zur Transparenz und Nachvollziehbarkeit von Systemzugriffen.