Kürzlich wurde eine schwerwiegende Sicherheitslücke aufgrund einer Fehlkonfiguration im Azure Active Directory von Microsoft entdeckt. HIN Mitglieder sollten die eigene Umgebung absichern und Schutzmassnahmen ergreifen.
Microsofts Azure Active Directory (AAD) bietet Administratoren und Entwicklern eine einfache Authentifizierung von Nutzern und Single-Sign-on-Funktionen. Es erlaubt auch die Authentifizierung von Nutzern ausserhalb der eigenen Organisation, was für öffentliche Webanwendungen von Vorteil sein kann. Wenn jedoch diese «multi-tenancy» aktiviert wird, kann dies zu Sicherheitsrisiken führen. Microsoft ist nun selbst Opfer eines solchen Angriffs geworden, wie «heise online» berichtet. Über manipulierte Suchergebnisse in der Suchmaschine «Bing» konnte ein Sicherheitsforscher eigene Ergebnisse ganz oben in der Liste platzieren und mit Schadcode versehen. Der hätte dann zum Beispiel Zugangscookies von angemeldeten Office365-Kunden stehlen können. Microsoft hat schnell reagiert und einen Hotfix bereitgestellt.Falls Sie in Ihrem Unternehmen AAD einsetzen, empfehlen wir Ihnen, den ausführlichen Blogartikel der Entdecker zu lesen, in dem auch darauf eingegangen wird, wie man die eigene Umgebung absichert.