עדכון היסטורי: הכתבה מתייחסת ל־CVE-2025-55241, חולשה חמורה ב־Microsoft Entra ID שנחשפה ותוקנה ב־2025. אין מדובר באזהרה על תקלה פתוחה כיום.
החולשה שילבה מנגנון ישן של Actor Tokens עם אימות לקוי ב־Azure AD Graph API הוותיק. בתנאים מסוימים, השילוב היה עלול לאפשר התחזות למשתמש בין דיירים שונים והעלאת הרשאות, כולל פעולות ברמת מנהל.
מה היה חריג באירוע?
לפי הפרסום של חוקר האבטחה Dirk-jan Mollema והדיווחים שבאו בעקבותיו, האסימונים הישנים לא נשאו חתימה רגילה וחלק מהפעילות לא הייתה נרשמת בלוגים המקובלים. לכן החולשה קיבלה ציון חומרה מרבי. עם זאת, פוטנציאל חמור אינו הוכחה לניצול בפועל.
מיקרוסופט תיקנה את לוגיקת האימות בשירות הענן והאיצה את הוצאת הרכיבים הישנים משימוש. החברה מסרה שלא מצאה ראיות לניצול החולשה בתקופת החקירה.
האם מנהלי IT נדרשו להתקין עדכון?
לא במובן הרגיל של עדכון Windows או Office בתחנת הקצה. Entra ID הוא שירות ענן, והתיקון המרכזי הוחל בצד של מיקרוסופט. לכן ההמלצה הישנה "להתקין מיד את העדכון" הייתה כללית מדי ואינה מתארת נכון את האירוע.
מה נכון לבדוק בארגון?
- לעבור על תפקידי מנהל ולהסיר הרשאות שאינן נחוצות.
- להשתמש בחשבונות מנהל נפרדים מעבודה יומיומית ולהגן עליהם באימות חזק.
- לבדוק יישומים ישנים והרשאות API, במיוחד תלות ב־Azure AD Graph שהוצא משימוש לטובת Microsoft Graph.
- להפעיל מדיניות Conditional Access, ניטור משתמשים בסיכון והתראות על שינויי הרשאה.
- לשמור לוגים מתאימים ולבדוק פעולות רגישות, תוך הבנה שלא כל אירוע היסטורי ניתן לזיהוי בדיעבד.
המקרה ממחיש מדוע רכיבי תאימות לאחור ושירותי זהות ותיקים הם סיכון גם בסביבת ענן מודרנית. ההגנה אינה מסתכמת בעדכון תחנות קצה, אלא כוללת ממשל זהויות, הקטנת הרשאות ומעקב אחר יישומים ופרוטוקולים ישנים.
מקורות: Microsoft Security Response Center והמחקר הטכני של Dirk-jan Mollema.
צילום: Christina Morillo / Pexels. מקור: Pexels.
