- Araştırmacılar, Entra OAuth'ta onay ve yetki devri sürecini kötüye kullanarak Microsoft iç uygulamalarına erişim mümkün olabileceğini doğruladı
- Bu zafiyet, kurum içi sistem koruması için yeni bir tehdit olup dış kullanıcıların iç servislere erişim kanalı edinebileceğini göstermektedir
- Temel onay mekanizması ve yetersiz izin ayarları, sorunun ana nedeni olarak öne çıkıyor
- Çalışma bulguları, mevcut güvenlik kontrollerinin yalnızca OAuth onay isteği ve erişim kontrolüne karşı yeterli olmadığını ortaya koyuyor
- Şirketler ve kuruluşlar, OAuth onay ve izin yönetimini güçlendirmenin önemini teyit ediyor
Araştırma Özeti ve Arka Plan
- Microsoft Entra OAuth, kullanıcının onayıyla farklı uygulamaların farklı hizmetlere erişim yetkisi kazandığı bir kimlik doğrulama/ yetkilendirme çerçevesidir
- Araştırmacılar, hedef ortamda normalde yalnızca dahili olarak erişilebilen Microsoft uygulamalarının, belirli bir onay ve yetki devri senaryosu kötüye kullanıldığında dışarıdan da erişilebildiğini tespit etti
Kök Neden Analizi
- Zafiyet, OAuth onay isteği sürecinin kötüye kullanılmasından kaynaklanıyor
- Uygulama doğru şekilde sınırlandırılmadığında, saldırgan kullanıcı onayını tetikleyerek iç kaynak token'ını elde edebiliyor
- Varsayılan sunulan onay ve yetkilendirme mekanizması yeterince ayrıntılı olmadığından, bazı dahili servisler dışa açılma riski taşıyor
Etki ve Riskler
- Kötü niyetli bir kullanıcı bu zafiyetten yararlanarak Microsoft iç sistemlerine ve uygulamalara erişebilir
- Erişim sağlandığında duyarlı veri sızıntısı veya iç işlevlerin kötüye kullanılma riski oluşur
Yanıt ve Öneriler
- Kuruluşlar OAuth yönetim çerçevesini yeniden değerlendirmeli ve tüm onay ve yetki atama akışlarını sıkı bir şekilde kontrol altına almalıdır
- En az ayrıcalık ilkesi temel alınarak, onaylanan kaynaklar ve izin kapsamları net biçimde sınırlandırılmalıdır
- Düzenli olarak OAuth uygulama denetimi ve onay yönetimi süreçlerini kurarak yönetimi güçlendirmek gereklidir
Henüz yorum yok.