Penjelasan teknis
Kerentanan scope overreach dalam Platform Identitas Agent Microsoft Entra memungkinkan akun dengan peran Agent ID Administrator untuk membajak service principal arbitrer dan meningkatkan privilese di seluruh tenant. Kerentanan muncul karena identitas agent, dibangun di atas primitif aplikasi dan service principal standar, kekurangan batasan scoping yang tepat. Penyerang dengan peran Agent ID Administrator dapat menetapkan dirinya sebagai pemilik dari service principal berprovilese tinggi apa pun, membuat kredensial baru, dan melakukan autentikasi sebagai aplikasi tersebut. Jika service principal yang dikompromikan memegang peran direktori yang ditinggikan atau izin Graph API, ini memberikan jalur langsung ke kompromi tenant penuh.
Vektor serangan
Penyerang dengan peran Agent ID Administrator menggunakan tindakan update-owner untuk memodifikasi kepemilikan service principal apa pun di tenant, termasuk yang tidak terkait dengan identitas agent. Setelah kepemilikan ditetapkan, penyerang membuat kredensial baru untuk service principal yang ditargetkan dan melakukan autentikasi sebagai aplikasi tersebut, mewarisi semua izin dan peran direktorinya.
Sistem yang terdampak
Tenant Microsoft Entra ID yang menggunakan fitur pratinjau Platform Identitas Agent. Organisasi dengan service principal yang memegang peran direktori yang ditinggikan (Global Administrator, Cloud Application Administrator, Privileged Role Administrator) atau izin Graph API berdampak tinggi berada pada risiko terbesar.
Mitigasi
Microsoft menerapkan perbaikan pada April 2026 yang mencegah peran Agent ID Administrator dari mengelola pemilik service principal non-agent. Organisasi harus melakukan audit log untuk acara mencurigakan yang melibatkan penambahan pemilik atau kredensial ke service principal. Gunakan skrip Azure CLI yang disediakan oleh Silverfort untuk mengidentifikasi service principal dengan peran direktori berprovilese dan pastikan pemantauan yang sesuai telah dilakukan. Tinjau dan minimalkan penugasan peran Agent ID Administrator.