LONDON (IT BOLTWISE) – Zwei Jahre nach der Entdeckung der nOAuth-Sicherheitslücke in Microsofts Entra ID bleibt das Risiko für SaaS-Anwendungen bestehen. Neue Untersuchungen zeigen, dass 9 % der analysierten Anwendungen weiterhin anfällig sind.
Die Sicherheitslücke nOAuth in Microsofts Entra ID stellt weiterhin ein erhebliches Risiko für Software-as-a-Service (SaaS)-Anwendungen dar. Trotz der Entdeckung dieser Schwachstelle vor zwei Jahren sind immer noch 9 % der untersuchten Anwendungen anfällig für Angriffe. Diese Schwachstelle ermöglicht es Angreifern, die Kontrolle über Benutzerkonten zu übernehmen, indem sie die Implementierung von OpenID Connect (OIDC) in den Anwendungen ausnutzen.
nOAuth, erstmals im Juni 2023 von Descope offengelegt, beschreibt eine Schwäche in der Art und Weise, wie SaaS-Anwendungen OIDC implementieren. Diese Authentifizierungsschicht, die auf OAuth aufbaut, dient der Verifizierung der Benutzeridentität. Ein Angreifer kann die E-Mail-Adresse im Entra ID-Konto ändern, um die “Log in with Microsoft”-Funktion zu missbrauchen und das Konto zu kapern.
Ein wesentlicher Faktor, der diesen Angriff ermöglicht, ist die Erlaubnis von Entra ID, dass Benutzer eine unbestätigte E-Mail-Adresse haben können. Dies öffnet Tür und Tor für Benutzerimitationen über Mandantengrenzen hinweg. Besonders gefährdet sind Anwendungen, die mehrere Identitätsanbieter nutzen, da sie möglicherweise einem Angreifer erlauben, sich mit der E-Mail-Adresse eines Zielbenutzers anzumelden.
Semperis, ein Unternehmen für Identitätssicherheit, hat in seiner Analyse von 104 SaaS-Anwendungen neun als anfällig für nOAuth-Missbrauch identifiziert. Diese Anwendungen erlauben Entra ID-Zugriff über Mandantengrenzen hinweg, was bedeutet, dass sowohl der Angreifer als auch das Opfer in unterschiedlichen Entra ID-Mandanten sind.
Eric Woodruff, Chief Identity Architect bei Semperis, betont die Schwere der Bedrohung: “nOAuth-Missbrauch ist eine ernsthafte Bedrohung, der viele Organisationen ausgesetzt sein könnten. Der Angriff erfordert wenig Aufwand, hinterlässt kaum Spuren und umgeht Endnutzer-Schutzmaßnahmen.”
Microsoft hat auf die Berichte von Semperis reagiert, indem es seine Empfehlungen aus dem Jahr 2023 bekräftigte. Entwickler müssen sicherstellen, dass sie eine einzigartige, unveränderliche Benutzerkennung implementieren, um Kontoübernahmen zu verhindern. Microsoft betont, dass die Verwendung anderer Ansprüche als der Subjekt-Identifikator in OpenID Connect nicht konform ist.
Die Offenlegung dieser Schwachstelle erfolgt zeitgleich mit Berichten von Trend Micro über Sicherheitsprobleme in Kubernetes-Umgebungen, die durch falsch konfigurierte oder übermäßig privilegierte Container entstehen. Diese könnten Angreifern Zugang zu sensiblen AWS-Anmeldeinformationen verschaffen.
Die Wichtigkeit, die Prinzipien der minimalen Rechtevergabe zu befolgen und Containerkonfigurationen angemessen abzugrenzen, wird durch diese Erkenntnisse unterstrichen. Die Sicherheitslücken verdeutlichen die Notwendigkeit, die Möglichkeiten zur Ausnutzung durch böswillige Akteure zu minimieren.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Sicherheitslücke in Microsoft Entra ID: nOAuth bleibt ein Risiko" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Sicherheitslücke in Microsoft Entra ID: nOAuth bleibt ein Risiko" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Sicherheitslücke in Microsoft Entra ID: nOAuth bleibt ein Risiko« bei Google Deutschland suchen, bei Bing oder Google News!