In questo articolo Indice dei contenuti 2 sezioni
Una falla critica in Microsoft Entra ID, il servizio che gestisce identità e accessi per milioni di aziende nel mondo, è stata corretta senza che i clienti debbano muovere un dito. La vulnerabilità, nel caso peggiore, permetteva a un attaccante di eseguire codice a distanza sul sistema senza aver bisogno di credenziali valide. Tradotto: nessun login, nessun accesso interno, solo una richiesta costruita ad arte.
Il contesto aiuta a capire la portata della cosa. Microsoft Entra ID, che fino a qualche tempo fa si chiamava Azure Active Directory, è uno dei mattoni più delicati dell’intero ecosistema dell’azienda di Redmond. Gestisce le identità degli utenti, le connessioni, i diritti di accesso e le regole di sicurezza dentro Microsoft 365, Azure e Dynamics 365. Se cede quel livello, cede tutto quello che ci sta sopra: applicazioni, risorse cloud, dati aziendali. Non è un servizio periferico, è la porta d’ingresso.
Come funzionava l’attacco su Entra ID
Il meccanismo, spiegato in modo semplice, era questo: inviare a Entra ID una richiesta deliberatamente malformata, pensata per ingannare il servizio. Se il tentativo andava a buon fine, chi stava dall’altra parte poteva far girare le proprie istruzioni sui sistemi Microsoft. E qui arriva il dettaglio che ha fatto alzare più di un sopracciglio tra gli addetti alla sicurezza informatica: l’attaccante non doveva autenticarsi prima di provarci. Nessun account compromesso da riutilizzare, nessuna password rubata.
C’è di più. La stessa Microsoft ha ammesso che l’offensiva non richiedeva particolare sofisticazione. Niente catene di exploit lunghe e complicate, niente accesso privilegiato già ottenuto in precedenza. Una combinazione, quella tra assenza di autenticazione e bassa complessità, che di solito fa schizzare in alto il punteggio di gravità di qualsiasi vulnerabilità. Sul fronte dello sfruttamento reale la comunicazione è stata un po’ altalenante. In un primo momento Microsoft aveva fatto sapere che il problema era già stato usato in attacchi informatici concreti, poi ha corretto la rotta smentendo se stessa: la falla non è stata sfruttata da nessun gruppo di hacker. Resta comunque classificata come critica, e questo spiega la velocità con cui è arrivata la patch.
Ventidue correzioni e nessuna azione richiesta ai clienti
L’intervento su Entra ID fa parte di un pacchetto più ampio: 22 correzioni di sicurezza distribuite sui servizi cloud dell’azienda. La buona notizia per gli amministratori di sistema è che il lavoro è stato fatto lato server. Le aziende non devono installare aggiornamenti, non devono pianificare finestre di manutenzione, non devono riavviare nulla. La correzione è già attiva.
Oltre a Entra ID, il giro di manutenzione ha toccato diversi altri prodotti della famiglia Azure e non solo. Sono stati sistemati problemi in Azure SQL Database, Azure Arc, Exchange Online e Azure Managed Instance for Apache Cassandra. Alcune di queste debolezze consentivano un’elevazione di privilegi a distanza, cioè la possibilità di guadagnare permessi più alti di quelli assegnati. Un’altra apriva la strada all’esecuzione di codice direttamente sui server. Anche in questi casi Microsoft ha applicato le patch principalmente a livello di servizio, quindi senza richiedere manipolazioni particolari da parte di chi utilizza le piattaforme. Un approccio che, nel cloud, sta diventando la norma: chi gestisce l’infrastruttura interviene alla radice e l’utente finale si ritrova protetto senza accorgersene.
Il punto interessante di tutta la vicenda riguarda proprio la natura dei servizi di gestione delle identità. Una falla critica in un antivirus o in un browser colpisce una macchina alla volta. Una falla dentro Entra ID, invece, potenzialmente mette sul tavolo l’intero perimetro digitale di un’organizzazione, comprese tutte le applicazioni che si appoggiano a quel sistema di autenticazione per decidere chi può entrare e chi no. Ed è anche per questo che il servizio viene monitorato con un’attenzione diversa rispetto ad altri componenti dello stesso ecosistema.
