Entra-ID-Sicherheitslücke könnte jeden Firmen-Tenant kapern

Microsoft hat kürzlich eine schwerwiegende Entra-ID-Sicherheitslücke behoben, die es Angreifern erlaubte, den Azure/Entra-ID-Tenant jeder Organisation zu kapern. Die Schwachstelle entstand durch eine Kombination aus veralteten „actor-tokens“ und einer Verwundbarkeit in der Azure AD Graph API. Sie konnte eine vollständige Tenant-Übernahme ermöglichen, ohne entdeckt zu werden.

Was die Schwachstelle beinhaltete

Der Sicherheitsforscher Dirk-jan Mollema entdeckte, dass sogenannte „actor-tokens“ — undokumentierte Legacy-Tokens, die vom Access Control Service ausgegeben wurden — Angreifern erlaubten, sich als Benutzer in beliebigen Tenants auszugeben. Diese Tokens besaßen keine korrekten Signaturen. Sie umgingen die Benutzervalidierung und funktionierten auch, wenn man nicht zum Zieltenant gehörte. Die Schwachstelle (CVE-2025-55241) ermöglichte zudem, dass unsignierte Tokens über die Graph API wirksam wurden und so Global-Admin-Rechte verschafft werden konnten.

Wie Angreifer sie ausnutzen konnten

Ein Angreifer konnte von einem Tenant aus starten, den er kontrollierte, und dann actor-tokens zusammen mit einer bekannten Tenant-ID und einem User-netId verwenden, um eine Identitätsimitation zu erzeugen. Über die verwundbare API ließen sich Nutzer ändern, Passwörter zurücksetzen oder Admin-Rollen in einem fremden Tenant zuweisen. Besonders kritisch war, dass diese Aktionen in vielen Fällen kaum Spuren im Opfer-Tenant hinterließen, abgesehen von den Vorgängen, die über den externen Service liefen.

Umfang und Risiko

Viele Unternehmen nutzen Entra ID (früher Azure AD) für Identitätsverwaltung, Single Sign-On und Multi-Factor-Authentication. Die Lücke setzte diese Dienste dem Risiko von Datendiebstahl, Konfigurationsänderungen und weitergehender Kompromittierung aus. Da Tenant-IDs und bestimmte User-IDs oft auffindbar sind, konnte die Exposition weitreichend sein.

Was Microsoft unternommen hat

Microsoft erkannte das Problem an und bestätigte die Behebung von CVE-2025-55241. Parallel begann Microsoft mit der Deprecation der Azure AD Graph API und entfernte nach und nach die Unterstützung für actor-tokens in Legacy-Diensten. Der Patch wurde neun Tage nach Meldung veröffentlicht. Microsoft forderte Kunden auf, ihre Umgebungen auf veraltete Komponenten zu prüfen und Zugänge wo möglich einzuschränken.

Was Unternehmen tun sollten

Administratoren sollten umgehend:

• Bestätigen, dass ihr Tenant keine actor-tokens mehr akzeptiert und dass die Azure AD Graph API deaktiviert ist.
• Tenant-Konfigurationen auf Legacy-Dienste prüfen, die actor-tokens nutzen könnten.
• Zugriffsprotokolle auf ungewöhnliche Aktivitäten prüfen, besonders von externen Services.
• Sicherstellen, dass Conditional-Access-Richtlinien das Prinzip der minimalen Berechtigungen durchsetzen.

Fazit

Die Entra-ID-Sicherheitslücke hat eine Schwachstelle im Identitäts-Stack von Microsoft offengelegt, die Angreifern praktisch eine unerkannte Tenant-Übernahme ermöglicht hätte. Microsofts Patch reduziert das Risiko. Dennoch müssen Unternehmen ihre Umgebungen verifizieren und Abhängigkeiten von Legacy-Diensten beseitigen. Schnelles Handeln schützt vor schweren Schäden an Daten, Betrieb und Sicherheitslage.