報導摘要
一份由資安研究員Dirk-jan Mollema揭露的重大安全漏洞，讓Microsoft Entra ID面臨嚴重挑戰。此漏洞結合了兩個關鍵因素：未記錄的「參與者令牌(註)」（actor tokens）和Azure AD Graph API中的弱點（CVE-2025-55241），使得駭客能利用其自身租用戶的令牌，輕易取得任何其他組織Entra ID環境的完全存取權限。
這項漏洞的危害性極高，惡意行為者可以利用它來執行特權提升攻擊，完全控制目標租用戶的權限，並存取高度敏感的企業數據，且在目標環境中不會留下任何關於權限提升的日誌記錄。這種攻擊方式幾乎難以被追蹤，因為受害者租用戶的日誌只會記錄駭客後續執行的讀取或寫入操作，而非最初的入侵行為。
註：
「參與者令牌」（Participant Token）這個詞在不同領域有不同含義，但在資安與系統架構中，它通常指的是：指的是駭客成功竊取或偽造某個系統中合法參與者的令牌（Participant Token），藉此繞過身份驗證與存取控管，進行未授權操作。這類攻擊屬於「身份濫用」或「令牌劫持」類型，在 AI、API、雲端與分散式架構中尤其危險。
漏洞技術細節與攻擊手法
這個漏洞的核心在於遺留元件的關鍵組合可以允許完全存取世界上每個公司的 Microsoft Entra ID 租用戶，這種致命的混合包括未記錄的令牌（稱為「參與者令牌」）和 Azure AD Graph API 中的漏洞（CVE-2025-55241），該漏洞允許令牌與任何組織的 Entra ID 環境一起使用。的威脅行為利用這個漏洞將能夠存取大量高度敏感的數據，而不會在目標環境的日誌中留下任何痕跡，除了他們自己的行為。
「參與者令牌」是微軟內部服務間通訊使用的無簽名（unsigned）令牌，用於在不同的微軟服務之間建立信任。Mollema發現，這些令牌並未被記錄在案，且其設計存在缺陷。他進一步發現，當這些令牌與Azure AD Graph API中的一個漏洞結合時，就可以用來偽裝成任何使用者，甚至以「全域管理員」的身份進入任何目標租用戶。
攻擊流程相對簡單：
駭客從自己控制的租用戶生成一個「參與者令牌」。
駭客需要知道目標租用戶的公開ID（tenant ID）以及目標環境中某個使用者的netId。
利用Azure AD Graph API的漏洞，駭客可以將其生成的令牌與目標租用戶的資訊結合，從而創建一個偽裝成全域管理員的令牌。
一旦獲得這個偽造的令牌，駭客就可以無限制地存取目標租用戶中的所有數據和資源。
漏洞影響與微軟的應對
Entra ID 是微軟基於雲端的身份和存取管理 (IAM) 服務，以前稱為 Azure Active Directory (Azure AD)，它為組織提供跨應用程式和資源的單一登入、多因素身份驗證和安全控制。這項服務在全球企業中被廣泛應用，因此此次漏洞的影響範圍極其巨大。一旦被惡意利用，可能導致大規模的企業資料外洩、系統癱瘓以及嚴重的經濟損失。
安全研究員 Dirk-jan Mollema 於 7 月 14 日向微軟報告了該問題，該公司確認該問題在 9 天後得到解決。微軟的快速響應體現了其對資安問題的重視，但同時也凸顯了即使是領先的雲服務提供商，其系統中也可能存在潛在的、未被發現的風險。該漏洞CVE-2025-55241最終在2025年9月4日發布了官方修補程式，被列為一個關鍵的權限提升漏洞。這也提醒所有依賴Entra ID的企業，必須隨時關注並應用最新的安全更新，並實施嚴格的存取控制與監控措施。
企業應如何防範
雖然此漏洞已被修補，但它提供了一個重要的教訓：單靠服務提供商的保護是不夠的。企業應採取多層次的防禦策略：
持續監控： 實施即時監控和日誌分析，特別是針對特權帳戶的活動，以便及時發現異常行為。
最小權限原則： 確保所有使用者和服務帳戶僅擁有完成其工作所需的最低權限，從而限制潛在攻擊的影響範圍。
多因素身份驗證（MFA）： 儘管漏洞本身繞過了某些身份驗證機制，但啟用MFA仍然是保護帳戶免受常見攻擊的關鍵防線。
定期審核： 定期審核Entra ID的組態設定、使用者權限和應用程式許可，以確保沒有不必要的存取權限存在。
資安教育： 提高員工的資安意識，教導他們如何識別可疑的釣魚郵件或其他社交工程攻擊，因為這些攻擊常常是獲取初始存取權的起點。
總結來說，此次Microsoft Entra ID漏洞事件是一次嚴峻的警示，強調了雲端安全環境中持續監測、主動防禦和快速響應的重要性。
資料來源：https://www.bleepingcomputer.com/news/security/microsoft-entra-id-flaw-allowed-hijacking-any-companys-tenant/
探討微軟Entra ID（前身為Azure AD）中一個關鍵的安全漏洞，該漏洞結合了未經記錄的「參與者令牌」和Azure AD Graph API的弱點，使得駭客能夠完全挾持全球任何公司的租用戶。