Azure-Lücke: Prüfen Sie die Konfiguration Ihres Azure AD

Uwe Gempp

17. April 2023

Kürzlich wurde eine schwerwiegende Sicherheitslücke aufgrund einer Fehlkonfiguration im Azure Active Directory von Microsoft entdeckt. HIN Mitglieder sollten die eigene Umgebung absichern und Schutzmassnahmen ergreifen.

Microsofts Azure Active Directory (AAD) bietet Administratoren und Entwicklern eine einfache Authentifizierung von Nutzern und Single-Sign-on-Funktionen. Es erlaubt auch die Authentifizierung von Nutzern ausserhalb der eigenen Organisation, was für öffentliche Webanwendungen von Vorteil sein kann. Wenn jedoch diese «multi-tenancy» aktiviert wird, kann dies zu Sicherheitsrisiken führen. Microsoft ist nun selbst Opfer eines solchen Angriffs geworden, wie «heise online» berichtet. Über manipulierte Suchergebnisse in der Suchmaschine «Bing» konnte ein Sicherheitsforscher eigene Ergebnisse ganz oben in der Liste platzieren und mit Schadcode versehen. Der hätte dann zum Beispiel Zugangscookies von angemeldeten Office365-Kunden stehlen können. Microsoft hat schnell reagiert und einen Hotfix bereitgestellt.Falls Sie in Ihrem Unternehmen AAD einsetzen, empfehlen wir Ihnen, den ausführlichen Blogartikel der Entdecker zu lesen, in dem auch darauf eingegangen wird, wie man die eigene Umgebung absichert.

Weitere Informationen

Autor: Uwe Gempp - CSO & IT-Architekt

Als Experte für IT-Sicherheit informiere ich Sie über aktuelle Herausforderungen im Netz. Zudem verrate ich Ihnen, wie Sie sich einfach vor Cybergefahren schützen können und erkläre Begriffe und Zusammenhänge rund um das Thema Informationssicherheit. Lernen Sie mit mir, wie wir die digitale Welt im Gesundheitswesen gemeinsam ein Stück sicherer machen können.

Mehr über Uwe erfahren

Uwe Gempp hat bis Dezember 2023 als CSO & IT-Architekt bei HIN gearbeitet. Seine Beiträge bleiben im HIN Blog erhalten.

Expertise
Bereits mit meinem Studium der Wirtschaftsinformatik war mir der praktische Nutzen der Informatik sehr wichtig. Im Laufe der Zeit wurden IT-Systeme immer vernetzter und komplexer, so gewann die IT-Sicherheit an Wichtigkeit. Ich verfüge über 25 Jahre Erfahrung in diversen Rollen in der Informatik, davon über 15 Jahre im Bereich Security Engineering, und arbeite seit Anfang 2022 als Security Officer bei HIN. In dieser Rolle prüfe ich unsere Prozesse, unsere Infrastruktur und unsere Systeme auf Schwachstellen und Risiken und definiere Schutzmassnahmen für HIN sowie ihre Kunden und Partner.