---

Un seul jeton pour tous les contrôler : obtenir les droits d'administrateur global dans chaque tenant Entra ID via les jetons Actor.

Alors que je préparais mes interventions pour les conférences Black Hat et DEF CON en juillet dernier, j'ai découvert la vulnérabilité Entra ID la plus grave que j'ai jamais rencontrée. Cette vulnérabilité m'aurait permis de compromettre tous les locataires Entra ID dans le monde (à l'exception probablement de ceux utilisant des déploiements cloud nationaux1). Si vous êtes un administrateur Entra ID et que vous lisez ceci, oui, cela signifie un accès complet à votre locataire. La vulnérabilité comprenait deux composants : des jetons d'usurpation d'identité non documentés, appelés « jetons d'acteur », que Microsoft utilise dans son backend pour la communication de service à service (S2S). De plus, il y avait une faille critique dans l'API Azure AD Graph (héritée) qui ne validait pas correctement le locataire d'origine, permettant à ces jetons d'être utilisés pour un accès inter-locataires.

Concrètement, cela signifie qu'avec un jeton que j'ai demandé dans mon locataire de laboratoire, je pouvais m'authentifier en tant que n'importe quel utilisateur, y compris les administrateurs globaux, dans n'importe quel autre locataire. En raison de la nature de ces jetons d'acteur, ils ne sont pas soumis à des politiques de sécurité telles que l'accès conditionnel, ce qui signifie qu'aucun paramètre n'aurait pu atténuer ce problème pour des locataires spécifiques renforcés. L'API Azure AD Graph étant une API plus ancienne permettant de gérer le service Azure AD / Entra ID de base, l'accès à cette API aurait pu être utilisé pour apporter toute modification au locataire que les administrateurs généraux peuvent effectuer, y compris la prise de contrôle ou la création de nouvelles identités et l'octroi de toute autorisation dans le locataire. Avec ces identités compromises, l'accès pouvait également être étendu à Microsoft 365 et Azure.

J'ai signalé cette vulnérabilité le jour même au Microsoft Security Response Center (MSRC). Microsoft a corrigé cette vulnérabilité de son côté dans les jours qui ont suivi la soumission du rapport et a déployé d'autres mesures d'atténuation qui empêchent les applications de demander ces jetons d'acteur pour l'API Azure AD Graph. Microsoft a également publié le CVE-2025-55241 pour cette vulnérabilité.

Impact

Ces jetons permettaient un accès complet à l'API Azure AD Graph dans n'importe quel locataire. La demande de jetons d'acteur ne génère pas de journaux. Même si c'était le cas, ils seraient générés dans mon locataire plutôt que dans le locataire victime, ce qui signifie qu'il n'y a aucune trace de l'existence de ces jetons.

De plus, l'API Azure AD Graph ne dispose pas de journalisation au niveau de l'API. Son successeur, Microsoft Graph, dispose de cette journalisation, mais pour Azure AD Graph, cette source de télémétrie est encore en phase de prévisualisation très limitée et je ne connais aucun locataire qui en dispose actuellement. Comme il n'y a pas de journalisation au niveau de l'API, cela signifie que les données Entra ID suivantes pourraient être consultées sans laisser de traces :

• Les informations sur les utilisateurs, y compris toutes leurs données personnelles stockées dans Entra ID.
• Informations sur les groupes et les rôles.
• Paramètres du locataire et politiques (d'accès conditionnel).
• Applications, entités de service et toute attribution d'autorisation d'application.
• Informations sur les appareils et clés BitLocker synchronisées avec Entra ID.

Ces informations pourraient être consultées en se faisant passer pour un utilisateur régulier du locataire victime. Si vous souhaitez connaître l'impact total, mon outil roadrecon utilise la même API. Si vous l'exécutez, tout ce que vous trouvez dans l'interface graphique de l'outil pourrait avoir été consulté et modifié par un attaquant abusant de cette faille.

Si un administrateur global était usurpé, il serait également possible de modifier n'importe lequel des objets et paramètres ci-dessus. Cela entraînerait une compromission totale du locataire avec un accès à tous les services qui utilisent Entra ID pour l'authentification, tels que SharePoint Online et Exchange Online. Cela donnerait également un accès complet à toutes les ressources hébergées dans Azure, car ces ressources sont contrôlées au niveau du locataire et les administrateurs globaux peuvent s'octroyer des droits sur les abonnements Azure. La modification d'objets dans le locataire entraîne (généralement) la génération de journaux d'audit. Cela signifie que, même si, en théorie, toutes les données de Microsoft 365 auraient pu être compromises, toute action autre que la lecture des informations du répertoire laisserait des journaux d'audit susceptibles d'alerter les défenseurs. Cependant, sans connaissance des artefacts spécifiques générés par les modifications avec ces jetons d'acteur, il semblerait qu'un administrateur global légitime ait effectué ces actions.

D'après la télémétrie interne de Microsoft, aucune utilisation abusive de cette vulnérabilité n'a été détectée. Si vous souhaitez rechercher d'éventuels artefacts d'abus dans votre propre environnement, une détection KQL est incluse à la fin de cet article.

---

---

---

---

---