Una investigación realizada por CloudSEK reveló un incidente significativo de exposición de datos en el sector de la aviación. El caso involucró más de 50.000 registros de usuarios de Microsoft Azure AD que estaban accesibles públicamente debido a una configuración inadecuada de un endpoint de API, incrustado en un archivo JavaScript.
Vulnerabilidad y permisos excesivos
La exposición se debió a un paquete de JavaScript que contenía un endpoint codificado. Este punto de conexión emitía un token de API de Microsoft Graph sin requerir autenticación, lo cual permitía acceder a datos sensibles con permisos excesivos: User.Read.All y AccessReview.Read.All.
Según el informe, este endpoint emitía un token que tenía la capacidad de acceder a perfiles completos de usuarios y datos críticos relacionados con la gobernanza de identidad.
Datos expuestos y riesgos
A través del token comprometido, los atacantes podían recuperar una amplia gama de información confidencial incluyendo:
- Nombres y cargos de empleados
- Direcciones de correo electrónico y datos de contacto
- Jerarquía organizacional
- Configuraciones de revisión de acceso
- Perfiles de liderazgo ejecutivo
Este tipo de acceso no autorizado representa un riesgo grave para la privacidad y puede facilitar el robo de identidad, el escalamiento de privilegios y ataques de phishing dirigidos a personal de alto nivel.
Impacto y regulación
El endpoint expuesto devolvía datos en tiempo real de más de 50.000 usuarios de Azure AD, incluyendo información sobre identificadores personales, nombres principales de usuario, asignaciones de roles de acceso y otros detalles de gobernanza.
La exposición de esta información sin las medidas de seguridad adecuadas plantea serias preocupaciones en cuanto al cumplimiento normativo, especialmente bajo leyes como el RGPD y la CCPA.
Recomendaciones para mitigar riesgos
Las organizaciones deben reevaluar la gestión de tokens sensibles en las aplicaciones front-end. Se recomienda garantizar una gestión estricta del alcance de los tokens, la autenticación de API y la revisión de secretos a nivel de código.
Soluciones recomendadas
- Deshabilitar el acceso público a la API: Restringir el punto de conexión vulnerable y aplicar controles de autenticación estrictos.
- Revocar tokens comprometidos: Invalidar los tokens expuestos y rotar las credenciales afectadas.
- Aplicar privilegios mínimos: Revisar y limitar el alcance de los tokens a lo estrictamente necesario.
- Supervisar el uso de la API: Implementar registros y alertas para detectar actividad anormal en Microsoft Graph.
- Proteger el código front-end: Evitar la incrustación de puntos de conexión sensibles o lógica de tokens en scripts del lado del cliente.
- Revisar permisos y roles: Auditar todos los roles de Azure AD y las revisiones de acceso para eliminar el exceso de permisos.
- Implementar la limitación de velocidad: Proteger los puntos de conexión de la API con controles de velocidad y detección de anomalías.