Lỗ hổng bảo mật trong Azure Active Directory và Microsoft Entra

19/03/2025
1 mins read


Vài thông tin liên quan đến lỗ hổng trong Azure Active Directory (AAD) hoặc Microsoft Entra application proxy, cụ thể là về pre-authentication và pass-through authentication (PTA):

Nội dung
1. Lỗ hổng Azure Active Directory (AAD)
2. Microsoft Entra Application Proxy
3. Lỗ hổng Pass-Through Authentication (PTA)
4. Khai thác lỗ hổng

1. Lỗ hổng Azure Active Directory (AAD)

  • Cuộc điều tra gần đây đã phát hiện ra một lỗ hổng trong AAD khi đồng bộ hóa nhiều miền AD tại chỗ với một tenant Azure duy nhất.
  • Vấn đề phát sinh khi các yêu cầu xác thực không được xử lý đúng cách bởi các tác nhân PTA cho các miền AD khác nhau, dẫn đến khả năng truy cập trái phép.
  • Kẻ tấn công có thể thao túng quá trình xác thực thông qua thông tin xác thực để vượt qua các kiểm tra an ninh, gây ra rủi ro lớn cho hạ tầng danh tính lai.

2. Microsoft Entra Application Proxy

  • Microsoft Entra application proxy cung cấp nhiều lợi ích an ninh, bao gồm quyền truy cập đã xác thực, quyền truy cập điều kiện, và kết thúc lưu lượng truy cập.
  • Pre-authentication chặn số lượng đáng kể các cuộc tấn công ẩn danh bằng cách đảm bảo chỉ những danh tính đã xác thực mới có thể truy cập ứng dụng backend.
  • Tuy nhiên, nếu passthrough được sử dụng như là phương thức xác thực trước, những lợi ích này không được thực hiện.

3. Lỗ hổng Pass-Through Authentication (PTA)

  • Khi một người dùng đã đồng bộ hóa cố gắng đăng nhập vào Azure, yêu cầu xác thực mật khẩu sẽ được đặt trong hàng đợi Service Bus và được lấy bởi một trong các tác nhân PTA có sẵn, bất kể miền gốc của người dùng.
  • Nếu một tác nhân PTA lấy tên người dùng và mật khẩu của một người dùng từ miền khác, nó sẽ cố gắng xác thực thông tin xác thực chống lại AD Windows Server của chính nó, dẫn đến thất bại trong xác thực.

4. Khai thác lỗ hổng

  • Kẻ tấn công có thể khai thác lỗ hổng này bằng cách tiêm một DLL không được quản lý vào quy trình tác nhân PTA, điều này sẽ kết nối hàm ValidateCredential để luôn trả về True, cho phép họ đăng nhập dưới bất kỳ người dùng nào từ bất kỳ miền AD tại chỗ nào đã được đồng bộ hóa.

Dựa trên ngữ cảnh này, có thể thấy rằng bài viết đề cập đến cách mà các hacker khai thác lỗ hổng trong cơ chế xác thực pass-through của Azure Active Directory.


Tags