Penjelasan teknis
Kerentanan jangkauan cakupan dalam Platform Identitas Agent Microsoft memungkinkan akun dengan peran Administrator Agent ID untuk membajak service principal arbitrer dan meningkatkan hak istimewa di seluruh tenant. Kerentanan timbul karena identitas agent, yang dibangun berdasarkan primitif aplikasi dan service principal standar, kurang memiliki batasan cakupan yang tepat. Penyerang dengan peran Administrator Agent ID dapat menetapkan diri mereka sendiri sebagai pemilik service principal berprivilege tinggi apa pun, menghasilkan kredensial baru, dan mengautentikasi sebagai aplikasi tersebut. Jika service principal yang dikompromikan memegang peran direktori yang ditingkatkan atau izin Graph API, ini memberikan jalur langsung ke kompromi tenant penuh.
Vektor serangan
Penyerang dengan peran Administrator Agent ID menggunakan tindakan pembaruan pemilik untuk mengubah kepemilikan service principal apa pun dalam tenant, termasuk yang tidak terkait dengan identitas agent. Setelah kepemilikan ditetapkan, penyerang menghasilkan kredensial baru untuk service principal yang ditargetkan dan mengautentikasi sebagai aplikasi tersebut, mewarisi semua izin dan peran direktorinya.
Sistem yang terdampak
Tenant Microsoft Entra ID yang menggunakan fitur pratinjau Platform Identitas Agent. Organisasi dengan service principal yang memegang peran direktori yang ditingkatkan (Administrator Global, Administrator Aplikasi Cloud, Administrator Peran Istimewa) atau izin Graph API berdampak tinggi berada pada risiko terbesar.
Mitigasi
Microsoft menerapkan perbaikan pada April 2026 yang mencegah peran Administrator Agent ID dari pengelolaan pemilik service principal non-agent. Organisasi harus mengaudit log untuk acara mencurigakan yang melibatkan penambahan pemilik atau kredensial ke service principal. Gunakan skrip Azure CLI yang disediakan oleh Silverfort untuk mengidentifikasi service principal dengan peran direktori berprevilese dan pastikan pemantauan yang sesuai telah diterapkan. Tinjau dan minimalkan penugasan peran Administrator Agent ID.