Злоупотребление Entra OAuth в Microsoft

Неправильная настройка многопользовательских приложений Entra ID позволила авторизоваться через общий (/common) endpoint любым Microsoft-аккаунтом.

Исследователь получил доступ к 22 внутренним приложениям Microsoft, включая порталы с конфиденциальными данными и возможностью удаленного выполнения кода.

Уязвимость возникла из-за отсутствия проверки полей iss или tid в токенах доступа на стороне приложения.

Рекомендуется ограничивать использование многопользовательских приложений и проверять арендатора при обработке токенов.