심각한 취약성: Entra ID 취약성으로 인해 글로벌 테넌트가 손상될 수 있음
2025-09-18
Microsoft Entra ID에 심각한 취약성이 발견되어 공격자가 전 세계의 거의 모든 테넌트(국가 클라우드 배포 제외)를 손상시킬 수 있습니다. 문서화되지 않은 "Actor 토큰"과 Azure AD Graph API의 결함으로 인해 완전한 액세스 권한을 얻을 수 있습니다. 공격자는 무차별 대입 공격 또는 B2B 신뢰를 활용하여 사용자의 netId를 얻고, 관리자로 가장하여 완전한 제어권을 확보하고, 기밀 데이터에 액세스하거나 설정을 변경할 수 있습니다. 사전 조건은 필요하지 않습니다. Microsoft는 이 취약성(CVE-2025-55241)을 수정했지만 Actor 토큰 설계의 고유한 위험이 드러났습니다.
더 보기
기술