Microsoft macht APIs in Entra ID verfügbar, um Drittanbieter-Anwendungen die eigenständige Ausführung von Aktionen für Microsoft-Dienste zu erlauben (so genannte „Anwendungsberechtigungen“). Bestimmte Berechtigungen können eine ernste Gefahr für den gesamten Microsoft Entra-Mandanten darstellen.

Microsoft macht APIs über Anwendungen in Microsoft Entra ID verfügbar, um Drittanbieter-Anwendungen die Ausführung von Aktionen für Microsoft Entra ID selbst, Microsoft 365 (O365), die Azure-Cloud usw. zu erlauben. „API-Berechtigungen“ schützen den Zugriff auf diese APIs und sollten nur für Dienstprinzipale verfügbar sein, die diese APIs benötigen. Die Genehmigung der Berechtigungen wird als „Anwendungsrollenzuweisung“ oder „Einwilligungserteilung“ („consent grant“) bezeichnet.
Bestimmte Berechtigungen für einige Microsoft-APIs (siehe unten) können eine ernste Bedrohung für den gesamten Microsoft Entra-Mandanten darstellen, weil ein Dienstprinzipal mit diesen Berechtigungen über sehr viel Macht verfügt, zugleich jedoch diskreter ist als ein Benutzer mit einer umfassenden Administratorrolle wie z. B. „Globaler Administrator“. Ein Missbrauch dieser Situation kann es einem Angreifer ermöglichen, die Multifaktor-Authentifizierung (MFA) zu umgehen sich dem Zurücksetzen von Benutzerpasswörtern zu widersetzen.
Wenn die Berechtigungen legitim sind, vergrößern sie die Angriffsoberfläche für den Mandanten. Wenn sie nicht legitim sind, kann es sich um einen böswilligen Versuch handeln, Rechte oder die Persistenzmethode auszuweiten.
Es gibt zwei Arten von API-Berechtigungen in Microsoft Entra ID, wie in der Microsoft-Dokumentation <a href="https://learn.microsoft.com/de-de/entra/identity-platform/permissions-consent-overview">Einführung in Berechtigungen und Einwilligung</a> beschrieben:
<ul>
<li>Anwendungsberechtigungen: Dieser Indicator of Exposure untersucht diesen ersten Berechtigungstyp, siehe den zugehörigen Indicator of Exposure „Gefährliche Anwendungsberechtigungen mit Auswirkungen auf Daten“ für Bedrohungen für sensible Daten in der Umgebung. Die Einwilligung wird von Administratoren erteilt und die Berechtigungen gelten mandantenweit. Microsoft <a href="https://learn.microsoft.com/de-de/security/operations/incident-response-playbook-app-consent#delegated-permissions-vs-application-permissions">beschreibt</a> sie wie folgt:</li>
</ul>
<blockquote>
Anwendungsberechtigungen werden von Anwendungen verwendet, die ohne einen angemeldeten Benutzer ausgeführt werden. Beispielsweise Apps, die als Hintergrunddienste oder Daemons ausgeführt werden. Für Anwendungsberechtigungen ist immer die Einwilligung eines Administrators erforderlich.
</blockquote>
<ul>
<li>Delegierte Berechtigungen: siehe den zugehörigen Indicator of Exposure „Gefährliche delegierte Berechtigungen mit Auswirkungen auf den Mandanten”.</li>
</ul>
Dieser Indicator of Exposure (IoE) gibt nur Auskunft über Dienstprinzipale, da API-Berechtigungen nur für Dienstprinzipale gelten, nicht jedoch für Benutzer.
Dieser IoE verfolgt die folgenden gefährlichen Berechtigungen, die Zugriff auf die <a href="https://learn.microsoft.com/de-de/graph/overview">Microsoft Graph-API</a> und die ältere <a href="https://learn.microsoft.com/de-de/graph/migrate-azure-ad-graph-overview">Azure AD Graph-API</a> erlauben:
<ul>
<li><code>AdministrativeUnit.ReadWrite.All</code>: Erlaubt es Angreifern, einen globalen Administrator aus einer <a href="https://learn.microsoft.com/de-de/entra/identity/role-based-access-control/admin-units-restricted-management">Verwaltungseinheit mit eingeschränkter Verwaltung (Restricted Management Administrative Unit, RMAU)</a> zu entfernen, um dann das Passwort zurückzusetzen, wenn die Berechtigung mit anderen Berechtigungen kombiniert wird.</li>
<li><code>Application.ReadWrite.All</code>: Erlaubt es Angreifern, Anmeldeinformationen für die Authentifizierung in höher privilegierte Anwendungen einzuschleusen, was einen nicht autorisierten Zugriff (bis hoch zu „Globaler Administrator“) durch Identitätswechsel ermöglicht.</li>
<li><code>Application.ReadWrite.OwnedBy:</code> Diese Berechtigung ist identisch mit <code>Application.ReadWrite.All</code>, gilt jedoch nur für Dienstprinzipale im Besitz des gemeldeten Dienstprinzipals.</li>
<li><code>AppRoleAssignment.ReadWrite.All</code>: Erlaubt es Angreifern, sich selbst die Berechtigung <code>RoleManagement.ReadWrite.Directory</code> zu erteilen.</li>
<li><code>DeviceManagementConfiguration.ReadWrite.All</code>: Erlaubt es Angreifern, von Intune verwaltete Geräte zu kompromittieren, indem sie bösartige Verwaltungsskripts bereitstellen, wie von Mandiant in <a href="https://cloud.google.com/blog/topics/threat-intelligence/abusing-intune-permissions-entra-id-environments/">(In)tuned to Takeovers: Abusing Intune Permissions for Lateral Movement and Privilege Escalation in Entra ID Native Environments</a> beschrieben. Dies kann eine Rechteausweitung zum globalen Administrator ermöglichen, wenn ein Administrator ein von Intune verwaltetes Gerät verwendet.</li>
<li><code>DeviceManagementRBAC.ReadWrite.All</code>: Erlaubt es Angreifern, einem von ihnen kontrollierten Konto privilegierte Intune-Rollen zuzuweisen, sodass sie beliebige Befehle auf Intune-Geräten ausführen können, wie in <code>DeviceManagementConfiguration.ReadWrite.All</code> beschrieben.</li>
<li><code>Directory.ReadWrite.All</code>: Erlaubt es Angreifern, sich selbst als Mitglieder von Gruppen hinzuzufügen, denen keine Rollen zugewiesen werden können, und so potenziell Rechte in der Azure-Cloud zu erlangen. Dies kann es ihnen ermöglichen, sich Zugriff auf andere Azure-Ressourcen zu verschaffen, was zu einer Rechteausweitung zum globalen Administrator in Entra ID (z. B. über verwaltete Identitäten) oder sogar zum Domänenadministrator in Active Directory (z. B. über in Azure gehostete Domänencontroller-VMs) führen kann.</li>
<li><code>Domain.ReadWrite.All</code>: Erlaubt es Angreifern, eine Verbunddomäne hinzuzufügen und sich als ein beliebiger Benutzer zu authentifizieren, selbst als globaler Administrator, wodurch Passwort- und MFA-Anforderungen umgangen werden.</li>
<li><code>EntitlementManagement.ReadWrite.All</code>: Erlaubt es Angreifern, die Zuweisungsrichtlinie eines Zugriffspakets zu aktualisieren, das die Rolle des globalen Administrators gewährt, sodass sie die Rolle ohne Genehmigung anfordern können.</li>
<li><code>Group.ReadWrite.All</code>: Identisch mit <code>Directory.ReadWrite.All</code></li>
<li><code>GroupMember.ReadWrite.All</code>: Identisch mit <code>Directory.ReadWrite.All</code></li>
<li><code>Organization.ReadWrite.All</code>: Erlaubt es Angreifern, ein vertrauenswürdiges Stammzertifikat zu Entra ID hinzuzufügen und sich als beliebiger Benutzer zu authentifizieren, auch als Benutzer, die der Rolle des globalen Administrators zugewiesen sind. Hierzu muss die <a href="https://learn.microsoft.com/de-de/entra/identity/authentication/concept-certificate-based-authentication">zertifikatbasierte Authentifizierung</a> (Certificate-Based Authentication, CBA) aktiviert sein. Falls diese nicht aktiviert ist, wird die Berechtigung <code>Policy.ReadWrite.AuthenticationMethod</code> benötigt, um CBA im Vorfeld zu aktivieren.</li>
<li><code>Policy.ReadWrite.AuthenticationMethod</code>: Erlaubt es Angreifern, die Authentifizierungsmethode <a href="https://learn.microsoft.com/de-de/entra/identity/authentication/howto-authentication-temporary-access-pass">Befristeter Zugriffspass</a> (Temporary Access Pass, TAP) zu aktivieren, die Voraussetzung für die Ausnutzung der Berechtigung <code>UserAuthenticationMethod.ReadWrite.All</code> ist, wenn sie mit dieser kombiniert wird. Alternativ erlaubt sie es Angreifern, die <a href="https://learn.microsoft.com/de-de/entra/identity/authentication/concept-certificate-based-authentication">zertifikatbasierte Authentifizierung (CBA)</a> zu aktivieren, um die Berechtigung <code>Organization.ReadWrite.All</code> auszunutzen.</li>
<li><code>Policy.ReadWrite.PermissionGrant</code>: Erlaubt es Angreifern, eine <a href="https://learn.microsoft.com/de-de/graph/api/permissiongrantpolicy-post-includes?view=graph-rest-1.0&amp;tabs=http">Berechtigungserteilungsrichtlinie</a> für einen von ihnen kontrollierten Dienstprinzipal zu erstellen, die die Berechtigung <code>RoleManagement.ReadWrite.Directory</code> erteilt und die Ausnutzung ermöglicht.</li>
<li><code>PrivilegedAccess.ReadWrite.AzureADGroup</code>: Erlaubt es Angreifern, ein von ihnen kontrolliertes Benutzerkonto als Mitglied einer Gruppe hinzuzufügen, der die Rolle des globalen Administrators zugewiesen ist.</li>
<li><code>PrivilegedAssignmentSchedule.ReadWrite.AzureADGroup</code>: Identisch mit <code>PrivilegedAccess.ReadWrite.AzureADGroup</code>.</li>
<li><code>PrivilegedEligibilitySchedule.ReadWrite.AzureADGroup</code>: Erlaubt es Angreifern, ein von ihnen kontrolliertes Benutzerkonto für eine Gruppe zu qualifizieren, der die Rolle des globalen Administrators zugewiesen ist, und dann die Mitgliedschaft zu aktivieren, um Rechte zu erhöhen.</li>
<li><code>RoleAssignmentSchedule.ReadWrite.Directory</code>: Erlaubt es Angreifern, einem von ihnen kontrollierten Benutzerkonto die Rolle des globalen Administrators zuzuweisen, indem sie eine aktive PIM-Rollenzuweisung erstellen.</li>
<li><code>RoleEligibilitySchedule.ReadWrite.Directory</code>: Erlaubt es Angreifern, ein von ihnen kontrolliertes Benutzerkonto für die Rolle des globalen Administrators zu qualifizieren und dann zu aktivieren, um Rechte zu erhöhen.</li>
<li><code>RoleManagement.ReadWrite.Directory</code>: Erlaubt es Angreifern, sich selbst auf die Rolle des globalen Administrators hochzustufen.</li>
<li><code>RoleManagementPolicy.ReadWrite.AzureADGroup</code>: Erlaubt es Angreifern, Gruppenrollenzuweisungen und Aktivierungsbeschränkungen wie MFA-Anforderungen oder Administratorgenehmigung zu entfernen, um <code>PrivilegedAccess.ReadWrite.AzureADGroup</code>, <code>PrivilegedAssignmentSchedule.ReadWrite.AzureADGroup</code> oder <code>PrivilegedEligibilitySchedule.ReadWrite.AzureADGroup</code> auszunutzen und in einem Mandanten mit strengen PIM-Einstellungen demselben Pfad wie diese Berechtigungen zu folgen.</li>
<li><code>RoleManagementPolicy.ReadWrite.Directory</code>: Erlaubt es Angreifern, Entra-Rollenzuweisungen und Aktivierungsbeschränkungen wie MFA-Anforderungen oder Administratorgenehmigung zu entfernen, um <code>RoleAssignmentSchedule.ReadWrite.Directory</code> oder <code>RoleEligibilitySchedule.ReadWrite.Directory</code> zu nutzen und in einem Mandanten mit strengen PIM-Einstellungen demselben Pfad wie diese Berechtigungen zu folgen.</li>
<li><code>User.DeleteRestore.All</code>: Erlaubt es Angreifern, alle Benutzerkonten im Mandanten zu löschen, sodass dieser nicht mehr verfügbar ist, und anschließend ein Lösegeld für die Wiederherstellung eines der Konten für den Notfallzugriff (Break-Glass-Konten) zu verlangen. Obwohl keine Rechteausweitung zum globalen Administrator möglich ist, wird der Zugriff unterbrochen.</li>
<li><code>User.EnableDisableAccount.All</code>: Erlaubt es Angreifern, alle Benutzerkonten im Mandanten zu deaktivieren, sodass dieser nicht mehr verfügbar ist, und dann ein Lösegeld für die Wiederherstellung eines der Konten für den Notfallzugriff (Break-Glass-Konten) zu verlangen. Obwohl keine Rechteausweitung zum globalen Administrator möglich ist, wird der Zugriff unterbrochen.</li>
<li><code>User.ReadWrite.All</code>: Erlaubt es Angreifern, sensible Eigenschaften eines von ihnen kontrollierten Benutzerkontos wie „Mitarbeiter-ID“ und „Abteilung“ zu bearbeiten, um das Konto zu einem Mitglied einer dynamischen Gruppe (siehe entsprechender IoE) mit zugewiesenen privilegierten Azure-Berechtigungen zu machen. Sie können dann Azure-Ressourcen nutzen, um letztlich die Rechteausweitung zum globalen Administrator zu erreichen.</li>
<li><code>User-PasswordProfile.ReadWrite.All</code>: Identisch mit <code>Directory.ReadWrite.All</code></li>
<li><code>UserAuthenticationMethod.ReadWrite.All</code>: Erlaubt es Angreifern, einen <a href="https://learn.microsoft.com/de-de/entra/identity/authentication/howto-authentication-temporary-access-pass">befristeten Zugriffspass (Temporary Access Pass, TAP)</a> zu generieren und beliebige Benutzerkonten im Mandanten zu übernehmen. Wenn TAP noch nicht aktiviert ist, müssen sie diese Berechtigung mit <code>Policy.ReadWrite.AuthenticationMethod</code> kombinieren, um TAP als Authentifizierungsmethode im Mandanten zu aktivieren (siehe entsprechender IoE).</li>
</ul>
Dieser IoE erfasst auch <a href="https://www.tenable.com/blog/despite-recent-security-hardening-entra-id-synchronization-feature-remains-open-for-abuse">diese gefährliche Berechtigung</a> der API „Microsoft Entra AD-Synchronisierungsdienst“:
<ul>
<li><code>ADSynchronization.ReadWrite.All</code>: Ermöglicht Angreifern das Aufrufen der undokumentierten Synchronisierungs-API, wodurch sie hybride Benutzerkonten ändern und ihre Passwörter zurücksetzen können.</li>
</ul>
Legitime Anwendungen mit diesen gefährlichen Berechtigungen fordern unter Umständen einen übermäßig weit gefassten Zugriff an. Dies kann auch ein Hinweis auf einen als „illegale Einwilligungserteilung“ bezeichneten Phishing-Angriff sein, bei dem Angreifer erfolgreich die Einwilligung eines Administrators einholen.
Deaktivierte Dienstprinzipale werden von diesem IoE standardmäßig ignoriert, da sie von Angreifern nicht direkt verwendet werden können.
Externe Referenzen:
<ul>
<li><a href="https://posts.specterops.io/azure-privilege-escalation-via-azure-api-permissions-abuse-74aee1006f48">Andy Robbins – Azure Privilege Escalation via Azure API Permissions Abuse</a></li>
<li><a href="https://posts.specterops.io/directory-readwrite-all-is-not-as-powerful-as-you-might-think-c5b09a8f78a8">Andy Robbins – Directory.ReadWrite.All Is Not As Powerful As You Might Think</a></li>
<li><a href="https://csandker.io/2022/11/10/Untangling-Azure-II-Privileged-Access.html">Carsten Sandker – Untangling Azure Active Directory Permissions II: Privileged Access</a></li>
<li><a href="https://dirkjanm.io/azure-ad-privilege-escalation-application-admin/">Dirk-jan Mollema – Azure AD privilege escalation – Taking over default application permissions as Application Admin</a></li>
<li><a href="https://github.com/emiliensocchi/azure-tiering/tree/main/Microsoft%20Graph%20application%20permissions#-tier-0-family-of-global-admins">Emilien Socchi – Tier 0 permissions</a> (hier finden Sie weitere Einzelheiten, einschließlich Rechtfertigungen für Ausnutzbarkeit)</li>
<li><a href="https://m365internals.com/2021/07/24/everything-about-service-principals-applications-and-api-permissions/">Huy Kha – Everything about Service Principals, Applications, and API Permissions</a></li>
<li><a href="https://www.inversecos.com/2021/10/how-to-backdoor-azure-applications-and.html">Lina Lau – How to Backdoor Azure Applications and Abuse Service Principals</a></li>
<li><a href="https://cloud.google.com/blog/topics/threat-intelligence/abusing-intune-permissions-entra-id-environments/">Mandiant Red Team – (In)tuned to Takeovers: Abusing Intune Permissions for Lateral Movement and Privilege Escalation in Entra ID Native Environments</a></li>
<li><a href="https://youtu.be/jMOFWVOm-Y4?t=2229">Marius Solbakken Mellum – Surprising ways to escalate privileges in Entra ID</a></li>
<li><a href="https://winsmarts.com/how-to-grant-admin-consent-to-an-api-programmatically-e32f4a100e9d">Sahil Malik – How to grant admin consent to an API programmatically</a></li>
<li><a href="https://learningbydoing.cloud/blog/audit-ms-graph-app-role-assignments/">Stian A. Strysse –What's lurking in your Microsoft Graph app role assignments?</a></li>
</ul>

Erkennungen

Gefährliche Anwendungsberechtigungen mit Auswirkungen auf den Mandanten

HIGH

Version 202507230918