Microsoft zamyka krytyczną lukę w Entra ID – wykryto exploita z najwyższym możliwym ratingiem

To chyba zmusza każdego odpowiedzialnego za IT do nieco nerwowego przełknięcia śliny, prawda? Microsoft właśnie załatał naprawdę poważną lukę w Entra ID (dawnej Azure Active Directory) – i była ona na tyle niebezpieczna, że otrzymała maksymalną ocenę „10” w skali CVSS. Dla tych, którzy zastanawiają się, co to oznacza: tak, to mniej więcej tak samo źle, jak brzmi.
Lukę wykryli eksperci ds. bezpieczeństwa z firmy Semperis. To klasyczna luka typu Authentication Bypass, co w praktyce oznacza, że atakujący mogli podszyć się pod legalnych użytkowników i uzyskać dostęp do wrażliwych danych oraz systemów – bez konieczności pokonywania dodatkowych zabezpieczeń. Mówiąc prościej: to typowy atak Zero-Click, który nie wymagał żadnej interakcji ze strony ofiary, aby go przeprowadzić.
Jak działała luka – i dlaczego była tak podstępna?
Wyobraźcie sobie, że normalnie dostajecie cyfrowy „bilet na bramkę” (token), który pozwala wam wejść do sieci firmowej. Taki bilet wystawia usługa uwierzytelniania Microsoftu i musi być ważny. Ta luka umożliwiała jednak sfałszowanie takiego biletu – i system po prostu przepuszczał go dalej, nie zauważając, że coś jest nie tak.
Gdyby taki fałszywy token został użyty, konsekwencje mogłyby być poważne:
- Ruch boczny w sieci: Gdyby konto zostało przejęte, atakujący mogliby się przemieszczać wewnątrz sieci niczym włamywacz przemieszczający się z pokoju do pokoju.
- Wykradanie danych: Wszystko, co nie było należycie zabezpieczone – dane użytkowników, e-maile, poufne dokumenty – byłoby zagrożone.
- Ransomware: Mając kontrolę nad Entra ID, cyberprzestępcy mogliby manipulować kopiami zapasowymi lub rozpowszechniać oprogramowanie szyfrujące.
Microsoft załatał lukę, zanim została publicznie ujawniona, i podkreśla, że nie ma dowodów na to, by była ona aktywnie wykorzystywana „w naturze”. To na razie dobra wiadomość – ale incydent ponownie pokazuje, jak szybko i nieoczekiwanie mogą pojawiać się takie zagrożenia.
Co radzi Microsoft – i co powinny zrobić firmy?
Firma opublikowała aktualizację bezpieczeństwa w ramach comiesięcznego Patch Tuesday. Szczególnie narażone są przedsiębiorstwa,



które używają Entra ID do Multi-Factor Authentication (MFA), Single Sign-On (SSO) lub zarządzania tożsamością. Innymi słowy: czas na aktualizację, ludzie!
Ale to jeszcze nie wszystko. Eksperci zalecają:
1. Sprawdźcie logi: Przejrzyjcie, czy nie było podejrzanych prób logowania lub dziwnych aktywności związanych z tokenami.
2. Polityki dostępu warunkowego (Conditional Access Policies): Pomagają one jeszcze bardziej ograniczyć dostęp do systemów – niczym dodatkowa śluza bezpieczeństwa.
3. Regularne audyty: Zlećcie niezależnym ekspertom przegląd systemów, aby wcześnie wykrywać podobne luki.
4. Microsoft Defender for Identity: To narzędzie wykrywa podejrzane zachowania i zgłasza je – swego rodzaju system wczesnego ostrzegania przed kradzieżą tożsamości.
Dlaczego rating CVSS 10,0 jest tak alarmujący?
Ocena 10,0 to maksymalna możliwa wartość, co oznacza, że luka jest:
- Łatwa do wykorzystania,
- Prawie nie wymaga wiedzy technicznej,
- Ma katastrofalne skutki.
Dla porównania: słynna luka Log4j (CVE-2021-44228) również otrzymała 10,0 – i wywołała globalne poruszenie. Obie luki mają coś wspólnego: celują w tożsamości, które są przecież sercem każdej infrastruktury IT.
Czego możemy się z tego nauczyć?
Przypadek ten jest wyraźnym sygnałem alarmowym dla bezpieczeństwa w chmurze. Kradzież tożsamości to jedno z największych zagrożeń dla przedsiębiorstw – a luka w Entra ID doskonale ilustruje, jak szybko i zaskakująco mogą pojawić się takie problemy. Choć Microsoft zareagował szybko, pojawia się pytanie: ile jeszcze ukrytych luk czai się w usługach chmurowych?
Firmy powinny zatem nie tylko czekać na łatki, ale działać proaktywnie:
- Planować bezpieczeństwo od samego początku – nie tylko wtedy, gdy coś pójdzie nie tak.
- Regularnie testować, czy systemy są naprawdę bezpieczne.
- Szkolić pracowników, bo często to nie systemy, ale ludzie są źródłem luk w zabezpieczeniach.
Luka w Entra ID została już załatana, ale powinna nam wszystkim przypominać: w dobie przenoszenia coraz większej liczby procesów biznesowych do chmury, bezpieczeństwo nie jest opcjonalnym dodatkiem – to konieczność. Bądźcie czujni, ludzie!