Selama dekade terakhir, perusahaan-perusahaan di seluruh dunia telah beralih infrastruktur digital mereka dari server yang dihosting sendiri ke cloud. Mereka pun menikmati manfaat dari fitur keamanan terstandar yang disediakan oleh penyedia cloud utama seperti Microsoft. Namun, dengan begitu banyak hal yang bergantung pada sistem ini, konsekuensi yang timbul jika terjadi kesalahan bisa sangat bencana dan berdampak luas. Salah satu contohnya: Peneliti keamanan Dirk-jan Mollema baru-baru ini menemukan sepasang kerentanan dalam platform manajemen identitas dan akses Microsoft Azure yang dapat dieksploitasi untuk mengambil alih hampir semua akun pelanggan Azure dengan potensi dampak yang sangat katastrofik.
Sistem yang dikenal sebagai Entra ID ini menyimpan identitas pengguna, kontrol akses masuk, aplikasi, dan alat manajemen langganan setiap pelanggan cloud Azure. Mollema telah mempelajari keamanan Entra ID secara mendalam dan menerbitkan beberapa studi tentang kelemahan dalam sistem yang sebelumnya dikenal sebagai Azure Active Directory ini. Namun, saat mempersiapkan presentasi untuk konferensi keamanan Black Hat di Las Vegas pada bulan Juli, Mollema menemukan dua kerentanan yang disadarinya dapat digunakan untuk mendapatkan hak istimewa administrator global—pada dasarnya *god mode*—dan membahayakan setiap direktori Entra ID, atau yang dikenal sebagai “tenant”. Mollema mengatakan bahwa hal ini akan mengekspos hampir setiap tenant Entra ID di dunia, kecuali mungkin infrastruktur cloud pemerintah.
“Saya hanya menatap layar saya. Saya seperti, ‘Tidak, ini seharusnya tidak terjadi,’” kata Mollema, yang menjalankan perusahaan keamanan siber Belanda Outsider Security dan mengkhususkan diri dalam keamanan cloud. “Ini cukup parah. Seburuk-buruknya, menurut saya.”
“Dari tenant saya sendiri—tenant uji coba atau bahkan tenant percobaan—Anda dapat meminta token ini dan pada dasarnya Anda dapat memalsukan siapa pun di tenant orang lain,” tambah Mollema. “Itu berarti Anda dapat mengubah konfigurasi orang lain, membuat pengguna admin baru di tenant tersebut, dan melakukan apa pun yang Anda inginkan.”
Mengingat keseriusan kerentanan tersebut, Mollema mengungkapkan temuannya kepada Microsoft Security Response Center pada 14 Juli, hari yang sama saat ia menemukan celah tersebut. Microsoft mulai menyelidiki temuan itu pada hari itu juga dan menerapkan perbaikan secara global pada 17 Juli. Perusahaan tersebut mengonfirmasi kepada Mollema bahwa masalah telah diperbaiki pada 23 Juli dan menerapkan langkah-langkah tambahan pada bulan Agustus. Microsoft menerbitkan CVE untuk kerentanan tersebut pada 4 September.
“Kami mengatasi masalah yang baru diidentifikasi dengan cepat, dan mempercepat pekerjaan remediasi yang sedang berlangsung untuk menghentikan penggunaan protokol warisan ini, sebagai bagian dari Inisiatif Masa Depan Aman kami,” kata Tom Gallagher, Wakil Presiden Teknik Microsoft Security Response Center, kepada WIRED dalam sebuah pernyataan. “Kami menerapkan perubahan kode dalam logika validasi yang rentan, menguji perbaikannya, dan menerapkannya di seluruh ekosistem cloud kami.”
Gallagher mengatakan bahwa Microsoft tidak menemukan “bukti penyalahgunaan” kerentanan selama penyelidikannya.
Kedua kerentanan terkait dengan sistem warisan yang masih berfungsi di dalam Entra ID. Yang pertama melibatkan jenis token autentikasi Azure yang ditemukan Mollema yang dikenal sebagai Actor Tokens yang diterbitkan oleh mekanisme Azure yang kurang dikenal disebut “Access Control Service”. Actor Tokens memiliki beberapa properti sistem khusus yang disadari Mollema dapat berguna bagi penyerang jika digabungkan dengan kerentanan lain. Bug lainnya adalah cacat besar dalam antarmuka pemrograman aplikasi Azure Active Directory bersejarah yang dikenal sebagai “Graph” yang digunakan untuk memfasilitasi akses ke data yang disimpan di Microsoft 365. Microsoft sedang dalam proses mempensiunkan Azure Active Directory Graph dan mengalihkan pengguna ke penerusnya, Microsoft Graph, yang dirancang untuk Entra ID. Cacat tersebut terkait dengan kegagalan Azure AD Graph dalam memvalidasi dengan benar tenant Azure mana yang melakukan permintaan akses, yang dapat dimanipulasi sehingga API akan menerima Actor Token dari tenant berbeda yang seharusnya ditolak.