微软修复CVSS 10.0高危漏洞：Entra ID权限提升风险告警

这一漏洞最初被评估为低危权限提升漏洞，但随着后续深入研究表明其实际危害远超预期——攻击者能够借此冒充包括全局管理员在内的任意用户身份。

微软近期修复了Azure Entra ID（原Azure Active Directory）中的一个高风险安全漏洞（CVE-2025-55241）。该漏洞最初被评估为低危权限提升漏洞，但后续安全研究发现其实际危害远超最初预估——攻击者可通过该漏洞伪造包括全局管理员在内的任何用户凭证。

漏洞发现过程

网络安全研究员Dirk-Jan Mollema在为今年黑帽大会和DEF CON会议准备演讲材料时，首次发现了这一安全问题。研究表明，未经公开文档说明的"执行者令牌"（Actor tokens）结合传统Azure AD Graph API的验证缺陷，可被滥用于仿冒任意Entra ID租户中的用户身份，甚至包括全局管理员。

这意味着在一个实验租户中生成的令牌，竟能获取对其他租户的管理控制权。若仅进行数据读取，系统不会触发任何告警或日志记录；即便执行修改操作，痕迹记录也极为有限。

技术原理分析

根据Mollema的解释，执行者令牌的设计特性加剧了问题的严重性。这类令牌专为后端服务间通信设计，能够绕过条件访问等常规安全防护措施。一旦获取，攻击者可在24小时内持续仿冒其他身份，且无法中途撤销。

微软最新应用可生成具有仿冒权限的令牌，但第三方应用则无此权限。由于Azure AD Graph API缺少完善的日志记录功能，管理员难以察觉攻击者何时访问了用户数据、群组、角色、租户设置、服务主体、BitLocker密钥及策略等敏感信息。

跨租户攻击演示

Mollema在其技术博客中证实，由于Azure AD Graph API未能验证令牌的源租户，仿冒攻击可实现跨租户传播。通过修改租户ID并锁定已知用户标识符（netId），攻击者可从自有租户渗透至任意其他租户。

获取全局管理员的合法netId后，攻击者将完全接管Microsoft 365、Azure订阅及关联服务。更严重的是，netId可通过暴力破解快速获取，某些情况下还能从跨租户协作的访客账户属性中提取。

演示视频展示了执行者令牌在单租户内的使用方式，而相同方法通过该漏洞即可实现跨租户攻击。

修复与行业反思

微软在收到报告后三天内（7月17日）即推出全球修复方案，后续还追加了阻止应用通过Azure AD Graph请求执行者令牌的缓解措施。该公司表示内部遥测未发现漏洞利用证据，该漏洞于9月4日正式获得CVE-2025-55241编号。

然而安全专家指出，该事件暴露出对云身份系统信任机制的深层担忧。Radiant Logic产品总监Anders Askasan强调："此事表明未文档化的身份特性可能悄然绕过零信任架构。执行者令牌创建了一个没有策略、没有日志、没有可视性的影子后门，动摇了云信任基础。教训很明确：厂商事后修补远远不够。"

他建议："为降低系统性风险，企业需要建立覆盖整个身份结构的独立可观测性，持续关联账户、权限和策略。组织必须获得与厂商无关的可信身份数据视图，以便实时验证并在敌对入侵升级为不可逆的数据泄露前采取行动。"