Podatność w Microsoft Entra ID umożliwia nieuwierzytelnionemu atakującemu zdalne podwyższenie uprawnień bez jakiejkolwiek interakcji użytkownika. Wysoki wynik CVSS 9.3 oraz wpływ na poufność danych czynią ją poważnym zagrożeniem dla środowisk korzystających z tej usługi tożsamości.
▸ Pokaż oryginał (EN)
Azure Entra ID Elevation of Privilege Vulnerability
Podatność sklasyfikowana jest jako CWE-285 (Improper Authorization), co oznacza nieprawidłową weryfikację uprawnień dostępu do zasobów lub operacji. Atakujący może wysłać odpowiednio spreparowane żądanie sieciowe do Microsoft Entra ID bez konieczności posiadania jakichkolwiek poświadczeń. W wyniku błędu autoryzacji system może przyznać dostęp lub uprawnienia wykraczające poza dozwolony zakres.
Atakujący może uzyskać nieautoryzowany dostęp do chronionych zasobów lub operacji w obrębie Microsoft Entra ID, co prowadzi do wysokiego narażenia poufności danych oraz ograniczonego naruszenia integralności. Podatność ma zasięg wykraczający poza komponent źródłowy (Scope: Changed), co oznacza możliwość wpływu na powiązane systemy i zasoby.
Należy zastosować patche dostępne u producenta zgodnie z referencjami: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-24305. W przypadku usług chmurowych Microsoft może wdrożyć poprawki automatycznie — zaleca się weryfikację statusu aktualizacji w panelu Microsoft Security Update Guide.
Microsoft Entra ID — wersje wskazane w referencjach producenta
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:L/A:NMicrosoft Entra Id
APPMicrosoftwszystkie wersje
Powiązane podatności
Błąd walidacji źródła w Microsoft Entra ID umożliwia privilege escalation
Obejście uwierzytelnienia w Microsoft Azure Active Directory B2C
Ujawnienie wrażliwych danych w Azure Entra ID umożliwiające spoofing
SSRF w Microsoft Entra ID Entitlement Management umożliwia spoofing
Microsoft Entra ID – privilege escalation przez zdalną interakcję użytkownika