छोड़े गए यूआरएल माइक्रोसॉफ्ट एंट्रा आईडी में आग लगा सकते हैं

इस साल की शुरुआत में सिक्योरवर्क्स द्वारा खतरनाक भेद्यता की खोज की गई थी।

इस साल की शुरुआत में, माइक्रोसॉफ्ट एंट्रा आईडी (जिसे तब तक जाना जाता था Azure सक्रिय निर्देशिका) परित्यक्त उत्तर यूआरएल का उपयोग करके हैकर्स द्वारा आसानी से हैक और समझौता किया जा सकता था। सिक्योरवर्क्स के शोधकर्ताओं की एक टीम ने इस भेद्यता की खोज की और माइक्रोसॉफ्ट को सतर्क किया।

रेडमंड स्थित टेक दिग्गज ने तुरंत भेद्यता को संबोधित किया और प्रारंभिक घोषणा के 24 घंटों के भीतर, उसने माइक्रोसॉफ्ट एंट्रा आईडी में छोड़े गए उत्तर यूआरएल को हटा दिया।

अब, इस खोज के लगभग 6 महीने बाद, इसके पीछे की टीम, एक ब्लॉग पोस्ट में खुलासा, वह प्रक्रिया जो परित्यक्त उत्तर यूआरएल को संक्रमित करने और माइक्रोसॉफ्ट एंट्रा आईडी को आग लगाने के लिए उपयोग करने के पीछे निहित है, अनिवार्य रूप से इससे समझौता करती है।

छोड़े गए URL का उपयोग करके, एक हमलावर आसानी से Microsoft Entra ID का उपयोग करके संगठन के उन्नत विशेषाधिकार प्राप्त कर सकता है। कहने की आवश्यकता नहीं है, भेद्यता ने एक बड़ा जोखिम उत्पन्न किया, और Microsoft स्पष्ट रूप से इससे अनभिज्ञ था।

एक हमलावर इस परित्यक्त यूआरएल का लाभ उठाकर प्राधिकरण कोड को स्वयं पर पुनर्निर्देशित कर सकता है, एक्सेस टोकन के लिए गलत तरीके से प्राप्त प्राधिकरण कोड का आदान-प्रदान कर सकता है। इसके बाद ख़तरा अभिनेता मध्य-स्तरीय सेवा के माध्यम से पावर प्लेटफ़ॉर्म एपीआई को कॉल कर सकता है और उन्नत विशेषाधिकार प्राप्त कर सकता है।

सिक्योरवर्क्स

इस प्रकार कोई हमलावर Microsoft Entra ID भेद्यता का लाभ उठाएगा

1. छोड़े गए उत्तर URL को हमलावर द्वारा खोजा जाएगा और एक दुर्भावनापूर्ण लिंक के साथ अपहरण कर लिया जाएगा।
2. यह दुर्भावनापूर्ण लिंक तब पीड़ित द्वारा एक्सेस किया जाएगा। एंट्रा आईडी फिर पीड़ित के सिस्टम को उत्तर यूआरएल पर रीडायरेक्ट करेगा, जिसमें यूआरएल में प्राधिकरण कोड भी शामिल होगा।
3. दुर्भावनापूर्ण सर्वर एक्सेस टोकन के लिए प्राधिकरण कोड का आदान-प्रदान करता है।
4. दुर्भावनापूर्ण सर्वर एक्सेस टोकन और इच्छित एपीआई का उपयोग करके मध्य स्तरीय सेवा को कॉल करता है, और माइक्रोसॉफ्ट एंट्रा आईडी से समझौता हो जाएगा।

हालाँकि, अनुसंधान के पीछे की टीम ने यह भी पाया कि एक हमलावर मध्य-स्तरीय सेवा में टोकन रिले किए बिना एक्सेस टोकन के लिए प्राधिकरण कोड का आसानी से आदान-प्रदान कर सकता है।

यह देखते हुए कि किसी हमलावर के लिए एंट्रा आईडी सर्वर से प्रभावी ढंग से समझौता करना कितना आसान होगा, माइक्रोसॉफ्ट ने तुरंत इस मुद्दे को संबोधित किया, और अगले दिन इसके लिए एक अपडेट जारी किया।

लेकिन यह देखना काफी दिलचस्प है कि रेडमंड स्थित टेक दिग्गज ने शुरुआत में इस भेद्यता को कैसे नहीं देखा। हालाँकि, Microsoft का कमजोरियों को कुछ हद तक नज़रअंदाज करने का इतिहास रहा है।

इस गर्मी की शुरुआत में, टेनेबल द्वारा कंपनी की भारी आलोचना की गई, एक अन्य प्रतिष्ठित साइबर सुरक्षा फर्म, एक और खतरनाक भेद्यता को संबोधित करने में विफल रहने के लिए, जो घातक संस्थाओं को Microsoft उपयोगकर्ताओं की बैंक जानकारी तक पहुंचने की अनुमति देगी।

यह स्पष्ट है कि Microsoft को किसी तरह अपने साइबर सुरक्षा विभाग का विस्तार करने की आवश्यकता है। आप इसके बारे में क्या सोचते हैं?