{"id":259594,"date":"2021-11-19T04:03:57","date_gmt":"2021-11-19T03:03:57","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=259594"},"modified":"2023-12-05T00:56:28","modified_gmt":"2023-12-04T23:56:28","slug":"schwachstelle-cve-2021-42306-in-microsoft-azure-ad","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2021\/11\/19\/schwachstelle-cve-2021-42306-in-microsoft-azure-ad\/","title":{"rendered":"Schwachstelle CVE-2021-42306 in Microsoft Azure AD"},"content":{"rendered":"

[English<\/a>]Microsoft hat zum 17. November 2021 eine Sicherheitswarnung ver\u00f6ffentlicht, in der eine Schwachstelle in Microsoft Azure AD ver\u00f6ffentlicht wird. Diese erm\u00f6glicht es, Informationen aus dem Microsoft Azure Actice Directory (AD) abzurufen.<\/p>\n

<\/p>\n

\"\"Ich bin von Microsoft per Mail in einem Security Bulletin auf das Problem aufmerksam geworden. Die Schwachstelle CVE-2021-42306 wird als important eingestuft.<\/p>\n

***************************************************************
\nTitle: Microsoft Security Update Revisions
\nIssued: November 17, 2021
\n***************************************************************<\/p>\n

Summary
\n=======<\/p>\n

The following CVE has been published to the Security Update Guide.
\n================================================================
\n* CVE-2021-42306<\/p>\n

– CVE-2021-42306<\/a> | Azure Active Directory Information Disclosure Vulnerability
\n– Version: 1.0
\n– Reason for Revision: Information published.
\n– Originally posted: November 17, 2021
\n– Updated: N\/A
\n– Aggregate CVE Severity Rating: Important<\/p>\n

Die Schwachstelle CVE-2021-42306<\/a> erm\u00f6glicht die Offenlegung von Informationen und tritt auf, wenn ein Benutzer oder eine Anwendung ungesch\u00fctzte private Schl\u00fcsseldaten als Teil eines Authentifizierungszertifikats keyCredential<\/a> auf eine Azure AD-Anwendung oder ein Dienstprinzipal<\/a> hochl\u00e4dt (was nicht empfohlen wird). Diese Sicherheitsanf\u00e4lligkeit erm\u00f6glicht einem Benutzer oder Dienst im Mandanten mit Anwendungslesezugriff, die privaten Schl\u00fcsseldaten zu lesen, die der Anwendung hinzugef\u00fcgt wurden.<\/p>\n

Die Sicherheitsanf\u00e4lligkeit in Azure AD wurde behoben, indem die Offenlegung von privaten Schl\u00fcsselwerten, die der Anwendung hinzugef\u00fcgt wurden, verhindert wurde. Microsoft hat die Dienste identifiziert, die diese Sicherheitsanf\u00e4lligkeit hervorrufen k\u00f6nnen, sowie die Ma\u00dfnahmen, die Kunden ergreifen sollten, um sich zu sch\u00fctzen.<\/p>\n

Ausf\u00fchrende Automation-Konten, die zwischen dem 15.10.2020 und dem 15.10.2021 mit einem selbstsignierten Azure Automation-Zertifikat<\/a> erstellt und nicht erneuert wurden, sind betroffen. Unabh\u00e4ngig davon k\u00f6nnten Kunden, die eigene Zertifikate verwenden<\/a>, betroffen sein. Dies gilt unabh\u00e4ngig vom Verl\u00e4ngerungsdatum des Zertifikats. Um betroffene Azure AD-Anwendungen, die mit betroffenen ausf\u00fchrenden Konten verbunden sind, zu identifizieren und zu beheben, navigieren Sie bitte zu diesem [Link zum Github Repo]. Dar\u00fcber hinaus unterst\u00fctzt Azure Automation die Unterst\u00fctzung von verwalteten Identit\u00e4ten (GA angek\u00fcndigt im Oktober 2021). Die Migration von ausf\u00fchrenden Konten auf verwaltete Identit\u00e4ten entsch\u00e4rft dieses Problem.<\/p>\n

Microsoft gibt in CVE-2021-42306<\/a> weitere betroffene Dienste an, schreibt aber, dass eine Ausnutzung unwahrscheinlich sei. Sicherheitsforscher der auf Penetrationstests f\u00fcr Unternehmen spezialisierten Firma NetSPI, die die Schwachstelle identifiziert haben, schreiben hier<\/a>, dass ein Angreifer den Fehler ausnutzen k\u00f6nnte, um die Berechtigungen zum Mitwirkenden eines beliebigen Abonnements mit einem Automatisierungskonto zu erweitern und auf Ressourcen in den betroffenen Abonnements zuzugreifen. Security Week hat einen zusammenfassenden Artikel<\/a> zum Thema ver\u00f6ffentlicht.<\/p>\n","protected":false},"excerpt":{"rendered":"

[English]Microsoft hat zum 17. November 2021 eine Sicherheitswarnung ver\u00f6ffentlicht, in der eine Schwachstelle in Microsoft Azure AD ver\u00f6ffentlicht wird. Diese erm\u00f6glicht es, Informationen aus dem Microsoft Azure Actice Directory (AD) abzurufen.<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[426],"tags":[4375,4328],"class_list":["post-259594","post","type-post","status-publish","format-standard","hentry","category-sicherheit","tag-azure","tag-sicherheit"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/259594","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=259594"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/259594\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=259594"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=259594"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=259594"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}