{"id":315911,"date":"2025-09-19T18:06:28","date_gmt":"2025-09-19T16:06:28","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=315911"},"modified":"2025-09-20T01:56:34","modified_gmt":"2025-09-19T23:56:34","slug":"schwachstelle-cve-2025-55241-in-entra-id-ermoeglichte-global-admin-uebernahme-in-tenants","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2025\/09\/19\/schwachstelle-cve-2025-55241-in-entra-id-ermoeglichte-global-admin-uebernahme-in-tenants\/","title":{"rendered":"Schwachstelle CVE-2025-55241 in Entra ID erm\u00f6glichte Global Admin-\u00dcbernahme in Tenants"},"content":{"rendered":"

[English<\/a>]Noch ein kleiner Nachtrag von dieser Woche. Zum 17. September 2025 wurden die Details der Schwachstelle CVE-2025-55241<\/a> in Microsoft Entra ID \u00f6ffentlich. \u00dcber die Schwachstelle h\u00e4tte jeder Angreifer sich Tokens holen k\u00f6nnen, um f\u00fcr jeden Tenant die Global Administrator-Rolle \u00fcbernehmen zu k\u00f6nnen.<\/p>\n

<\/p>\n

Entra ID Schwachstelle CVE-2025-55241<\/h2>\n

\"\"Das Ganze ist etwas an mir vorbei gegangen. Entra ID ist der Identit\u00e4ts- und Zugriffsverwaltungsdienst, den Microsoft f\u00fcr Azure oder Microsoft 365 verwendet.\u00a0Zum 4. September 2025 hatte Microsoft einen Beitrag zur Schwachstelle CVE-2025-55241<\/a> in Microsoft Entra ID ver\u00f6ffentlicht. Es handelt sich um einen Privilege Escalation Schwachstelle in Azure Entra. So richtig viele Details gab es nicht, nur dass die Nutzer keine Aktionen ausf\u00fchren m\u00fcssen und es keine Ausnutzung g\u00e4be. Die Schwachstelle wurde bereits im Juli 2025 geschlossen. Etwas mulmig werden sollte Azure Entra-Nutzern der CVSS 3.1 Score von 10.0.<\/p>\n

Entra ID erm\u00f6glicht Tenant-\u00dcbernahme<\/h2>\n

Die Brisanz des Ganzen wurde erst zum 17. September 2025 \u00f6ffentlich – der Entdecker der Schwachstelle,\u00a0Dirk-jan Mollema, das Ganze im Blog-Beitrag\u00a0One Token to rule them all – obtaining Global Admin in every Entra ID tenant via Actor tokens<\/a> \u00f6ffentlich machte.<\/p>\n

\"Entra<\/a><\/p>\n

Tomas Jakobs und weitere Blog-Leser hatten im Diskussionsbereich des Blogs auf den Sachverhalt und auch auf diesen heise-Beitrag<\/a> hingewiesen (danke daf\u00fcr). Die kompakte Fassung dessen, was entdeckt wurde: Bei der Vorbereitung f\u00fcr Vortr\u00e4ge auf der Black Hat und der DEF CON im Juli 2025 stie\u00df Dirk-jan Mollema auf die bedeutendste Entra-ID-Sicherheitsl\u00fccke, die vorstellbar ist.<\/p>\n

Er war in der Lage, \u00fcber eine Sicherheitsl\u00fccke weltweit jeden \u00f6ffentlich erreichbaren Entra-ID-Tenant zu kompromittieren und diesen als Global Administrator vollst\u00e4ndig zu \u00fcbernehmen. Die Sicherheitsl\u00fccke\u00a0bestand aus zwei Komponenten:<\/p>\n