Gefährliche Microsoft 365-Lücke: Wie Sie illegale Zugriffe über Power-Platform-Gastkonten verhindern
Auf der Sicherheitskonferenz Blackhat 2023, die im August in Las Vegas stattfand, wurde eine gravierende Sicherheitslücke in der Power Plattform demonstriert. Über Gastbenutzer-Konten ist es möglich, einen Microsoft 365-Tenant-Highjack durchzuführen. Das dafür erforderliche Tool ist auf GitHub erhältlich.
Der Vortrag über diese Sicherheitslücke hatte den beschreibenden Titel „All You Need is Guest“. Das beschriebene Problem beruht auf einer bisher für unverdächtig gehaltenen Funktion von Azure AD. Mit dieser ist es möglich, Gastbenutzern für bestimmte Funktionen der Power Platform Zugriff von außen auf geschäftsinterne Ressourcen zu gewähren.
Wie sich nun herausgestellt hat, können Gäste jedoch über undokumentierte APIs die auferlegten Beschränkungen umgehen und sich unerlaubten Zugriff auf interne Bereiche eines Tenant verschaffen. Das Skript dafür findet sich auf GitHub unter power-pwn.
Die Hürden zur Durchführung solcher unautorisierter Zugriffe auf Microsoft 365 Tenants sind recht niedrig. Es bedarf dazu lediglich einer Trial- oder Seeded-Lizenz für die PowerPlatform. Unerfreulich ist daran vor allem der Umstand, dass dieser Lizenztyp bis heute nicht administrativ deaktiviert werden kann. Auch ist es nicht möglich, über die Microsoft 365-Einstellungen zu unterbinden, dass Benutzer sich diese Lizenz selbst beschaffen.
Deaktivieren von Einstellungen nur begrenzt wirksam
Welche grundlegenden Möglichkeiten es für Administratoren gibt, um Testversionen und Self-Service-Käufe von Benutzern zu verwalten, beschreibt Microsoft auf dieser Seite: Verwalten von Self-Service-Käufen und Testversionen. Des Weiteren gibt es auch fertige Skripte, um diese Funktionen so weit wie möglich zu deaktivieren, etwa dieses hier auf GitHub: AllowSelfServicePurchase for the MSCommerce PowerShell module.
Allerdings lässt sich mit obigen Maßnahmen die sogenannte Seeded License nicht deaktivieren. Diese steht den Benutzern immer zur Verfügung.
Gastbenutzer sperren mit Zugriffs-Richtline
Um vor solchen Angriffen sicher zu sein, ist daher ein anderer Ansatz notwendig. Als Lösung bietet sich eine Richtlinie für bedingten Zugriff (Conditonal Access Policy) an. Mit der hier gezeigten verbieten Sie allen Gastbenutzern den Zugriff auf die Power Platform:
Falls für bestimmte geschäftliche Funktionen auch Gastbenutzern Zugriff auf die Power Platform eingeräumt werden muss, können Sie dies in den Einstellungen über „Specific users included“ auswählen:
Die hier festgelegten Benutzer können dann auch mit Gastkonto auf interne Funktionen zugreifen.
- Gefährliche Microsoft 365-Lücke: Wie Sie illegale Zugriffe über Power-Platform-Gastkonten verhindern - 11. September 2023
- Eigene Daten im ChatGPT-Stil erforschen: So nutzen Sie Azure OpenAI und Azure Cognitiv Search für interne KI-Lösungen - 17. Juli 2023
- Mit dem Security Copilot führt Microsoft einen KI-Assistenten für IT-Sicherheit ein - 30. März 2023