- Nhóm nghiên cứu xác nhận rằng có thể lợi dụng quy trình đồng ý và ủy quyền của Entra OAuth để tiếp cận các ứng dụng nội bộ của Microsoft
- Lỗ hổng này là mối đe dọa mới đối với bảo mật hệ thống nội bộ, mở ra khả năng người dùng bên ngoài có thể có đường vào các dịch vụ nội bộ
- Cơ chế đồng ý mặc định và các cấu hình quyền chưa đầy đủ là nguyên nhân chính
- Kết quả nghiên cứu cho thấy, chỉ dựa vào kiểm soát bảo mật hiện có thì vẫn tồn tại điểm yếu trong yêu cầu đồng ý OAuth và kiểm soát truy cập
- Doanh nghiệp và tổ chức nhận thấy cần tăng cường quản lý đồng ý và quyền OAuth
Tổng quan nghiên cứu và bối cảnh
- Microsoft Entra OAuth là một hệ thống xác thực/ủy quyền trong đó nhiều ứng dụng có thể nhận quyền truy cập vào các dịch vụ khác nhau dựa trên sự đồng ý của người dùng
- Nhóm nghiên cứu phát hiện trong môi trường mục tiêu, các ứng dụng Microsoft vốn chỉ có thể truy cập từ nội bộ có thể bị truy cập từ bên ngoài khi kẻ tấn công khai thác kịch bản ủy quyền đồng ý và quyền cụ thể
Phân tích nguyên nhân
- Lỗ hổng xuất hiện do việc lợi dụng quá trình yêu cầu đồng ý OAuth
- Nếu ứng dụng không được giới hạn đúng cách, kẻ tấn công có thể kích hoạt người dùng đồng ý để lấy được mã thông báo tài nguyên nội bộ
- Cơ chế đồng ý và cấp quyền mặc định không đủ mức chi tiết để phân tách, khiến một số dịch vụ nội bộ đối mặt với rủi ro bị lộ ra bên ngoài
Tác động và rủi ro
- Kẻ tấn công có thể dùng lỗ hổng này để tiếp cận hệ thống nội bộ của Microsoft và các ứng dụng
- Nếu quyền truy cập được cho phép, có thể xảy ra rò rỉ dữ liệu nhạy cảm hoặc lạm dụng sai chức năng nội bộ
Ứng phó và khuyến nghị
- Các tổ chức cần xem xét lại khung quản trị OAuth và kiểm soát chặt chẽ toàn bộ quá trình đồng ý và cấp quyền
- Dựa trên nguyên tắc quyền tối thiểu, cần giới hạn rõ ràng phạm vi tài nguyên và quyền đã được đồng ý
- Cần thiết lập quy trình kiểm toán ứng dụng OAuth và quản lý đồng ý thường xuyên để tăng cường quản lý
Chưa có bình luận nào.