مایکروسافت آسیب‌پذیری بحرانی CVE-2026-109469 را در سرویس Entra Device Registration فاش کرده است. این نقص امنیتی که در سرویس ابری ثبت و اتصال دستگاه‌ها به Microsoft Entra ID کاربرد دارد، دارای امتیاز کامل CVSS 10 است و به مهاجمان اجازه می‌دهد بدون نیاز به احراز هویت (Unauthenticated) و بدون تعامل کاربر (No user interaction)، از طریق شبکه اقدام به ارتقای سطح دسترسی (Elevation of Privilege) کنند.
جزئیات فنی و وضعیت اصلاحیه
این آسیب‌پذیری از نوع دور زدن مکانیزم‌های مجوزدهی (Authorization Bypass) از طریق یک کلید تحت کنترل کاربر (User-controlled key) است که با استاندارد CWE-639 مطابقت دارد. در این سناریو، سرویس بدون بررسی دقیق اینکه آیا درخواست‌کننده اجازه دسترسی به یک شیء یا شناسه خاص را دارد یا خیر، درخواست را می‌پذیرد.
نکته حائز اهمیت این است که مایکروسافت اعلام کرده این مشکل در سمت سرویس به‌طور کامل برطرف (Mitigated) شده است. بنابراین، مشتریان و مدیران سیستم نیازی به نصب وصله (Patch) یا تغییر پیکربندی خاصی ندارند. طبق گزارش‌های موجود، این آسیب‌پذیری تاکنون در دنیای واقعی مورد سوءاستفاده قرار نگرفته و هیچ کد اکسپلویت (Exploit) عمومی برای آن منتشر نشده است.
اهمیت هویت دستگاه در امنیت ابری
هویت دستگاه (Device Identity) نقش حیاتی در سرویس Entra ID ایفا می‌کند، زیرا پیش‌نیاز اصلی برای اعمال سیاست‌های دسترسی مشروط (Conditional Access) است. مهاجمان اغلب از قابلیت‌های قانونی ثبت دستگاه برای دور زدن احراز هویت چندعاملی (MFA) استفاده می‌کنند. تکنیک‌های مربوط به دستکاری حساب (Account Manipulation) از طریق ثبت دستگاه‌های جعلی، یکی از روش‌های شناخته شده در چارچوب MITRE ATT&CK (تکنیک T1098.005) است.
توصیه‌های امنیتی برای مدیران Entra
اگرچه نیازی به وصله امنیتی نیست، اما برای حفظ سطح بالای امنیت و اطمینان از عدم سوءاستفاده‌های احتمالی پیش از اصلاحیه، انجام اقدامات زیر توصیه می‌شود:
- حسابرسی فعالیت‌های ثبت دستگاه: بررسی لاگ‌های Audit در صفحه Entra Devices برای شناسایی ایجاد دستگاه‌های غیرمنتظره، تغییر مالکیت یا ثبت از مکان‌های ناشناخته.
- بررسی سطح دسترسی‌های ثبت: بازبینی تنظیمات مربوط به “Users may join devices” و “Users may register their devices” برای اطمینان از محدود بودن کاربران مجاز.
- اجبار به استفاده از MFA: اعمال سیاست‌های دسترسی مشروط (Conditional Access) برای اجبار کاربران به احراز هویت چندعاملی (MFA) هنگام ثبت یا اتصال دستگاه‌ها.
- پاکسازی اشیاء دستگاه: حذف دستگاه‌های قدیمی (Stale) یا ناشناخته‌ای که دیگر مورد استفاده نیستند.
