Insight

News, thoughts & updates from the industry

Azure AD “Log in With Microsoft”身份驗證繞過漏洞 影響數千用戶

研究人員警告,”nOAuth”攻擊可導致跨平台欺騙和完整帳戶接管,在Microsoft Azure Active Directory環境中實施了”Log in with Microsoft”功能的組織,可能會遇到身份驗證繞過漏洞問題,打開在線和雲帳戶接管的大門,企業需要立即採取補救措施。

根據Descope的研究人員所說,這種攻擊稱為”nOAuth”,是一個身份驗證漏洞,影響Azure AD中的multitenant OAuth應用程序,即是Microsoft的雲身份和訪問管理服務。攻擊成功後,惡意行為者可完全控制受害者的帳戶,並具有建立持久性、竊取數據、探索是否可能進行橫向移動等能力。Descope CISO Omer Cohen表示:「OAuth和OpenID Connect是開放的、受歡迎的應用程序,數百萬個Web應用程序正在使用。如果’Log in with Microsoft’沒有正確實現,一些應用程序可能會受到帳戶接管的威脅。那些資源較少的小型企業尤其受到影響。」

關於nOAuth網路攻擊威脅的背景

OAuth是一種token-based的開放授權框架,允許用戶通過對另一個可靠應用程式的身份驗證進行自動登錄。大多數人都對許多電子商務網站上提供的”使用Facebook登錄”或”使用Google登錄”選項很熟悉。

文章來源:DARKReading

Get In Touch