Azure Active Directory (Azure AD)配置中出现了一个严重的安全漏洞，该漏洞会暴露敏感的应用程序凭据，为攻击者提供前所未有的云环境访问权限。
此漏洞主要涉及包含 ClientId 和 ClientSecret 凭据的 appsettings.json 文件的暴露，从而有效地将整个 Microsoft 365 租户的密钥交给对手。
该漏洞是在最近的网络安全评估中发现的，在可公开访问的配置文件中发现了 Azure AD 应用程序凭据。
关键要点 1. 配置文件中暴露的 Azure AD 机密信息允许攻击者冒充应用程序。 2. 允许从 Microsoft 365 窃取数据并部署恶意应用。 3. 绕过安全控制并可能危及整个云租户的安全。
这种暴露使得威胁行为者能够直接针对 Microsoft 的OAuth 2.0端点进行身份验证，伪装成受信任的应用程序并获得对敏感组织数据的未经授权的访问。
客户端凭证流漏洞
Resecurity 报告称，攻击媒介利用 OAuth 2.0 中的客户端凭证流，攻击者利用暴露的凭证来生成有效的访问令牌。
使用泄露的 ClientId 和 ClientSecret，恶意行为者可以向 Azure 的令牌端点执行 HTTP POST 请求：
一旦通过身份验证，攻击者就可以访问 Microsoft Graph API 来枚举用户、组和目录角色。
当应用程序被授予过多的权限（例如 Directory.Read.All 或 Mail.Read）时，该漏洞会变得特别危险，从而允许在SharePoint、OneDrive 和 Exchange Online 上进行全面的数据收集。
公开的 appsettings.json 文件通常包含关键的 Azure AD 配置参数，包括实例 URL（https://login.microsoftonline.com/）、用于目录标识的 TenantId、用于回调处理的 RedirectUri，以及最重要的用作应用程序身份验证密码的 ClientSecret。
此漏洞会导致多种攻击场景，对组织安全构成重大风险。
报告称，攻击者可以通过查询 Microsoft Graph 端点来映射组织结构、识别高权限帐户和定位敏感数据存储库，从而进行全面侦察。
枚举 OAuth2PermissionGrants 的能力可以揭示哪些应用程序可以访问哪些资源，为攻击者提供进一步利用的路线图。
更令人担忧的是应用程序模拟的可能性，威胁行为者可以在受感染的租户下部署恶意应用程序。
利用合法应用程序的身份，攻击者可以请求额外的权限，可能从有限的读取权限升级到完全的管理控制。
该技术绕过了传统的安全控制，因为请求似乎来自受信任的、预先批准的应用程序。
该漏洞还允许跨云资源进行横向移动。假设暴露的配置文件包含其他机密信息，例如存储帐户密钥或数据库连接字符串。在这种情况下，攻击者可以直接访问生产数据、修改关键业务信息或在云基础架构中建立持久后门。
组织面临严重的合规性问题，因为未经授权访问用户数据可能触发GDPR、HIPAA或 SOX 违规行为。
此 Azure AD 漏洞强调了在云环境中正确的机密管理的重要性。
组织必须立即审核其配置文件，实施 Azure Key Vault 等安全凭证存储解决方案，并建立对可疑身份验证模式的监控。
应用程序凭证泄露的后果远远超出了简单的数据泄露，可能会危及整个云生态系统，并引发可能在数月内都无法被发现的复杂、长期攻击。
1. 本版块文章内容及资料部分来源于网络，不代表本站观点，不对其真实性负责，也不构成任何建议。
2. 部分内容由网友自主投稿、编辑整理上传，本站仅提供交流平台，不为该类内容的版权负责。
3. 本版块提供的信息仅作参考，不保证信息的准确性、有效性、及时性和完整性。
4. 若您发现本版块有侵犯您知识产权的内容，请及时与我们联系，我们会尽快修改或删除。
5. 使用者违规、不可抗力（如黑客攻击）或第三方擅自转载引发的争议，联盟不承担责任。
6. 联盟可修订本声明，官网发布即生效，继续使用视为接受新条款。
