Microsoft ha corregido una vulnerabilidad crítica en su servicio Microsoft Entra ID, anteriormente conocido como Azure Active Directory. La brecha se clasificó con un CVSS de 10.0, lo que la convierte en una amenaza de máximo impacto.
Vulnerabilidad y contexto
El pasado julio, Microsoft resolvió una de las vulnerabilidades más severas registradas en Entra ID, detectada por el investigador Dirk-jan Mollema. Esta vulnerabilidad se identificó como CVE-2025-55241 y permitía a atacantes suplantar cualquier identidad, incluso administradores globales, a través de cualquier tenant.
Impacto y mecanismo
CVE-2025-55241 surgía de una deficiencia en la validación de tokens de servicio a servicio (S2S) emitidos por el Access Control Service (ACS). Cabe mencionar un fallo en la API heredada Azure AD Graph (graph.windows.net). Esta combinación permitía que un token generado en un tenant propio se utilizara en cualquier otro, eludiendo controles de origen y permitiendo acceso transversal entre tenants.
Riesgos asociados
Los tokens eran válidos incluso bajo políticas de Conditional Access y la falta de logs en la API dificultaba la detección de abuso. El riesgo máximo radicaba en que cualquier atacante podía hacerse pasar por un Global Administrator, permitiendo el compromiso total del tenant.
Posibles acciones maliciosas
Podía permitirse la creación de cuentas, exfiltración de datos o cambios en permisos, e incluso acceso total a recursos en Azure y servicios vinculados como SharePoint o Exchange. El ataque podía eludir MFA, registros y políticas de acceso, complicando tanto la detección como la respuesta ante incidentes.
Remediación automática
Microsoft ha implementado el parche de forma automática desde el 17 de julio de 2025, no requiriendo acción manual por parte de los clientes. Se recomienda eliminar cualquier dependencia de la API Azure AD Graph, migrar aplicaciones a Microsoft Graph y revisar la configuración de permisos delegados.
Recomendaciones de seguridad
Es vital monitorizar aplicaciones externas y fortalecer las revisiones periódicas de roles y accesos privilegiados. Este incidente subraya los riesgos latentes en APIs heredadas y la importancia de la visibilidad sobre los mecanismos de autenticación y delegación en la nube.