Microsoft vá lô hổng bảo mật nghiêm trọng trong Entra ID – Lỗ hổng có mức độ nguy hiểm cao nhất được phát hiện

Chuyện này khiến bất kỳ ai chịu trách nhiệm về CNTT đều cảm thấy lo ngại, phải không? Microsoft vừa " vá" thành công một lỗ hổng bảo mật cực kỳ nguy hiểm trong Entra ID (từng có tên là Azure Active Directory) – và mức độ nguy hiểm của nó cao đến nỗi đạt điểm tuyệt đối 10/10 theo thang đo CVSS. Đối với những ai chưa rõ, đây là một lỗ hổng cực kỳ nghiêm trọng – đúng như những gì bạn sắp nghe.
Lỗ hổng này được phát hiện bởi các chuyên gia bảo mật tại Semperis và là một lỗ hổng bypass xác thực (Authentication Bypass). Nói một cách đơn giản, kẻ tấn công có thể mạo danh người dùng hợp pháp để truy cập vào dữ liệu nhạy cảm và hệ thống mà không cần vượt qua bất kỳ rào cản bảo mật nào. Nói cách khác, đây là một cuộc tấn công Zero-Click (không cần tương tác của người dùng) có thể khai thác mà không cần bất kỳ hành động nào từ nạn nhân.
---
Cơ chế hoạt động của lỗ hổng – Tại sao nó nguy hiểm đến vậy?
Hãy tưởng tượng bạn thường nhận được một “vé vào mạng” kỹ thuật số (token) để truy cập hệ thống công ty. Token này do dịch vụ xác thực của Microsoft cấp và phải hợp lệ. Lỗ hổng này cho phép kẻ tấn công làm giả token này, và hệ thống sẽ chấp nhận nó mà không hề phát hiện bất thường.
Một token giả mạo như vậy có thể gây ra những hậu quả nghiêm trọng:
- Di chuyển ngang trong mạng (Lateral Movement): Ngay khi chiếm được một tài khoản, kẻ tấn công có thể tiếp tục xâm nhập sâu hơn vào hệ thống, giống như một tên trộm lần lượt lục soát từng phòng trong nhà.
- Đánh cắp dữ liệu: Mọi thông tin không được bảo vệ chắc chắn đều gặp nguy hiểm – từ dữ liệu người dùng, email, đến tài liệu mật.
- Ransomware (Mã độc tống tiền): Với quyền kiểm soát Entra ID, tội phạm mạng có thể thao túng các bản sao lưu hoặc triển khai phần mềm độc hại để mã hóa dữ liệu.
May mắn thay, Microsoft đã vá lỗ hổng trước khi nó bị công khai, và hiện chưa có bằng chứng cho thấy lỗ hổng này đã bị khai thác ngoài thực tế. Điều này là tin tốt – nhưng vụ việc cũng nhắc nhở chúng ta rằng những rủi ro như vậy có thể xảy ra bất cứ lúc nào.
---
Microsoft khuyến nghị – Doanh nghiệp nên làm gì?
Microsoft đã phát hành bản vá bảo mật trong sự kiện Patch Tuesday hà



ng tháng. Các tổ chức sử dụng Entra ID cho xác thực đa yếu tố (MFA), đăng nhập một lần (SSO) hoặc quản lý danh tính cần cập nhật ngay lập tức.
Ngoài cập nhật, các chuyên gia khuyến nghị thực hiện thêm các biện pháp sau:
1. Kiểm tra logs: Xem xét các lần đăng nhập bất thường hoặc hoạt động token lạ.
2. Conditional Access Policies (Chính sách truy cập có điều kiện): Hạn chế quyền truy cập vào hệ thống – giống như một lớp bảo mật bổ sung.
3. Kiểm toán định kỳ: Thuê chuyên gia bên thứ ba kiểm tra hệ thống để phát hiện sớm các lỗ hổng tương tự.
4. Sử dụng Microsoft Defender for Identity: Công cụ này có thể phát hiện và cảnh báo các hành vi đáng ngờ – hoạt động như một hệ thống cảnh báo sớm chống đánh cắp danh tính.
---
Tại sao điểm CVSS 10.0 lại đáng báo động?
Điểm 10.0 là mức độ nguy hiểm cao nhất theo hệ thống đánh giá CVSS, nghĩa là:
- Dễ dàng khai thác ngay cả với kiến thức cơ bản.
- Ảnh hưởng nghiêm trọng (có thể dẫn đến mất toàn bộ quyền kiểm soát hệ thống).
- Không cần điều kiện đặc biệt để thực hiện tấn công.
Để so sánh, lỗ hổng Log4j (CVE-2021-44228) cũng từng đạt điểm 10.0 và gây chấn động toàn cầu. Cả hai lỗ hổng đều nhắm vào danh tính người dùng – vốn là trụ cột quan trọng nhất của mọi hệ thống CNTT.
---
Bài học rút ra từ vụ việc
Vụ việc này là hồi chuông cảnh tỉnh đối với an ninh đám mây. Đánh cắp danh tính là một trong những mối đe dọa lớn nhất đối với doanh nghiệp, và lỗ hổng trong Entra ID chính là một ví dụ điển hình cho thấy nguy cơ này có thể xảy ra nhanh chóng đến mức nào. Dù Microsoft đã phản ứng kịp thời, câu hỏi đặt ra là: Có bao nhiêu lỗ hổng tương tự vẫn còn ẩn giấu trong các dịch vụ đám mây?
Doanh nghiệp không nên chỉ chờ đợi bản vá, mà cần chủ động hành động:
- Tích hợp bảo mật từ đầu – đừng đợi đến khi sự cố xảy ra.
- Kiểm tra thường xuyên xem hệ thống của bạn có thực sự an toàn hay không.
- Tổ chức đào tạo nhân viên, bởi đôi khi con người chứ không phải hệ thống mới là mắt xích yếu nhất.
Lỗ hổng trong Entra ID đã được khắc phục, nhưng nó nhắc nhở tất cả chúng ta: Trong kỷ nguyên chuyển đổi số, an ninh không phải là thứ có thể lựa chọn – đó là nghĩa vụ. Hãy luôn cảnh giác!