近日，微软的云身份与访问管理（IAM）核心服务Entra ID（前身为Azure AD）曝出一个高危漏洞。一个由遗留组件和API缺陷组成的致命组合，理论上允许攻击者获取全球任何企业Entra ID租户的最高控制权，而且不会在受害者日志中留下任何痕迹。

该漏洞的核心在于两种技术的危险组合：一种是被称为“行动者令牌”（Actor Token）的未公开令牌；另一种则是已弃用的Azure AD Graph API中存在的令牌验证缺陷（CVE-2025-55241）。

成功利用此漏洞的攻击者，将能以“全局管理员”（Global Administrator）身份完全控制目标租户，访问其中所有高度敏感的数据和服务，包括Microsoft 365、Salesforce、Dropbox 等。

该漏洞由Outsider Security公司的创始人、安全研究员Dirk-jan Mollema发现。

Entra ID作为数百万企业的数字身份中枢，负责管理用户对本地及云端应用（如 Microsoft 365、Google Cloud、SAP等）的安全访问。而这次风暴的中心，是一种源自微软遗留服务——访问控制服务（Access Control Service）的“行动者令牌”。

Mollema在研究混合Exchange环境时发现了这种特殊令牌。它允许一个服务（如Exchange Online）在与另一个服务（如SharePoint）通信时，“扮演”或模拟租户中的任何其他用户。

这种令牌的设计存在根本性的安全缺陷：

无需签名：服务可以在不与Entra ID交互的情况下自行伪造这种模拟令牌，这意味着其创建和使用过程完全没有日志记录。

无法撤销：令牌有效期长达24小时，在此期间无法被吊销。

绕过安全策略：它可以完全绕过在条件访问（Conditional Access）中配置的任何安全限制，如MFA要求。

难以追溯：企业只能依赖资源提供商（如Exchange）的日志来判断这种令牌是否被使用过。

Mollema直言不讳地指出：“这种行动者令牌的整体设计根本就不应该存在。” 微软内部将这种令牌称为“高权限访问”（HPA），并计划将其移除。

研究人员的突破性发现来自于一次大胆的测试。他将一个从自己租户生成的“行动者令牌”中的tenant ID修改为另一个目标租户的ID，然后将其发送给已弃用的 Azure AD Graph API (graph.windows.net)。

他本以为会收到“拒绝访问”的错误，但API的返回信息却暗示：令牌本身是有效的，只是令牌中声称的用户身份在目标租户中不存在。

于是，Mollema提供了目标租户中一个有效普通用户的用户ID（netId），API 竟然成功返回了该用户的数据。这意味着，他跨越了租户的边界。

一个完整的攻击链由此形成：

生成令牌：攻击者在自己控制的租户中生成一个“行动者令牌”。

信息搜集：通过公开API获取目标企业的tenant ID，并找到目标租户中任意一个普通用户的netId。

首次模拟：利用手中的行动者令牌，结合目标租户的tenant ID和用户 netId，伪造一个模拟该普通用户的令牌。

权限提升：使用这个普通用户权限，通过Azure AD Graph API列出目标租户中所有的全局管理员及其netId。

终极模拟：再次伪造令牌，这次模拟的对象是刚刚获取到的全局管理员。

完全控制：以全局管理员身份，通过API执行任何读/写操作，如重置密码、添加新管理员、修改配置等。

Mollema强调，在整个攻击链中，只有最后一步的恶意操作才会在受害者租户的日志中留下记录，而前面的所有权限提升和侦察活动都是隐形的。

值得注意的是，作为漏洞关键一环的Azure AD Graph API服务已于去年9月进入弃用流程。微软此前已警告称，该API将在2025年9月初对大多数应用停止服务。

Mollema于7月14日向微软报告了这些问题。微软在9天后（7月23日）确认问题已得到解决。随后在9月4日，微软正式发布了针对CVE-2025-55241的补丁，并将其评定为严重（Critical）级别的权限提升漏洞。

此次事件再次凸显了现代云环境中遗留组件可能带来的巨大安全风险，即使是像微软这样顶级的云服务提供商，其庞大而复杂的系统中也可能潜藏着设计于不同安全时代、如今却能被组合利用的“技术债务”。

参考链接：

https://dirkjanm.io/obtaining-global-admin-in-every-entra-id-tenant-with-actor-tokens/