Entra-Anwendungen erlauben eine mehrinstanzenfähige Authentifizierung und können so böswilligen Benutzern nicht autorisierten Zugriff gewähren, wenn diese Konfiguration nicht mit vollem Bewusstsein aktiviert wurde und ohne dass angemessene Berechtigungsprüfungen innerhalb des Anwendungscodes implementiert werden.

<a href="https://learn.microsoft.com/de-de/entra/identity-platform/application-model#register-an-application">Anwendungen, die in Microsoft Entra ID registriert wurden</a>, um die Anmeldung zu vereinfachen, können entweder eine einzelinstanzenfähige oder eine mehrinstanzenfähige Authentifizierung beantragen, auch bekannt als „Zielgruppe für die Anmeldung“. Die einzelinstanzenfähige Authentifizierung beschränkt den Zugriff auf Benutzer innerhalb desselben Mandanten, während die mehrinstanzenfähige Authentifizierung Benutzern eines beliebigen Entra-Mandanten den Zugriff erlaubt. Diese <a href="https://learn.microsoft.com/de-de/entra/identity-platform/single-and-multi-tenant-apps">Unterscheidung zwischen einzel- und mehrinstanzenfähigen Apps</a> kann Auswirkungen auf die Sicherheit haben. Wenn eine Anwendung nicht in vollem Bewusstsein der Auswirkungen und ohne erforderliche Vorkehrungen als mehrinstanzenfähig konfiguriert wird, kann dies zu Sicherheitsrisiken führen. 
Die Gefährdung mehrinstanzenfähiger Apps ist höher, da ein böswilliger Entra-Benutzer eines beliebigen Mandanten die Anwendung erkennen und auf sie zugreifen kann. Wenn der Code der Anwendung diese Konfiguration nicht berücksichtigt, (z. B. wenn der Quellmandant des Benutzers nicht mit einer Liste von autorisierten Mandanten verglichen wird), kann dies zu nicht autorisiertem Zugriff führen. Anfällige Apps sind solche, die davon ausgehen, dass die Authentifizierung legitim ist und den Zugriff ausschließlich basierend auf der Vorlage eines gültigen Tokens gewähren, ohne weitere Prüfungen durchzuführen. Diese Art von Schwachstelle fällt in den Bereich von Sicherheitsmängeln des Typs „Authentifizierung (AuthN) vs. Autorisierung (AuthZ)“. Gemäß dem „Modell der geteilten Verantwortung“ übernimmt Entra ID die Benutzerauthentifizierung, während die Autorisierung in die Verantwortung der App fällt.
Selbst Microsoft wurde im März 2023 Opfer dieser Verwirrung, wie in der Fallstudie „<a href="https://www.wiz.io/blog/azure-active-directory-bing-misconfiguration">BingBang</a>“ ausführlich beschrieben. Sicherheitsforschern gelang es, diese Fehlkonfiguration auszunutzen, um mehrere Microsoft-Anwendungen zu kompromittieren, einschließlich des Verwaltungsportals für die Suchmaschine Bing. Microsoft hat diese Schwachstelle in seiner Anwendung behoben, wir möchten Sie mit dieser Erwähnung jedoch daran erinnern, dass ähnliche Schwachstellen Ihre eigenen Anwendungen betreffen können und Sie sie überprüfen und Fehlkonfigurationen bei Bedarf beheben sollten.
Mehrinstanzenfähige Apps sind auch anfällig für andere Verwirrungen in Bezug auf die Authentifizierung, wie den <a href="https://www.descope.com/blog/post/noauth">nOAuth-Fehler</a>.
Es gibt legitime Anwendungsfälle für mehrinstanzenfähige Apps, insbesondere wenn Ihre Organisation Anwendungen hostet, über die andere Organisationen (z. B. Softwareanbieter oder für die Zusammenarbeit zwischen Organisationen) oder auch Benutzer eines anderen Mandanten, aber innerhalb derselben Organisation (z. B. wenn es einen Mandanten pro Tochtergesellschaft gibt) Zugriff erhalten sollen. Diese Anwendungen sind nur anfällig, wenn sie sich ausschließlich auf eine erfolgreiche Authentifizierung verlassen, ohne zusätzliche Autorisierungsprüfungen durchzuführen.
Dieser Indicator of Exposure kann nicht ermitteln, ob eine Anwendung tatsächlich öffentlich sein soll oder ob die mehrinstanzenfähige Authentifizierung absichtlich aktiviert wurde. Außerdem kann er nicht feststellen, ob die Mehrinstanzenfähigkeit wirklich erforderlich ist, und ohne Zugriff auf den Anwendungscode kann er nicht überprüfen, ob die erforderlichen Autorisierungsprüfungen durchgeführt werden. Aus diesen Gründen kennzeichnet der IoE alle mehrinstanzenfähigen Anwendungen als Feststellungen, die Sie einzeln überprüfen müssen. Nach der Bestätigung können Sie sie als ignoriert markieren.

Erkennungen

Anwendung, die mehrinstanzenfähige Authentifizierung zulässt

LOW

Version 202404171632