Vulnerabilidades en Microsoft Entra ID: cuando fallar podría afectar a todo el planeta
En un mundo donde las empresas han migrado masivamente a la nube en la última década, confiamos en que gigantes como Microsoft mantengan nuestros datos seguros. Pero, ¿qué ocurre cuando el guardián de todas esas identidades digitales tiene un fallo catastrófico? Hace poco estuvimos a punto de averiguarlo, y no exagero al decir que podría haber sido uno de los mayores desastres en la historia de la ciberseguridad.
El descubrimiento que puso a temblar a Microsoft
Dirk-jan Mollema, un investigador de seguridad, encontró por casualidad dos vulnerabilidades en la plataforma Entra ID de Microsoft (anteriormente Azure Active Directory) que podrían haber provocado el apocalipsis digital. Y no, no estoy siendo alarmista.
Para que nos entendamos: Entra ID es básicamente el gran portero de la nube de Microsoft. Almacena todas las identidades de usuario, controla quién puede acceder a qué, y gestiona todas las aplicaciones y suscripciones. Es el cerebro que decide si eres quien dices ser y qué tienes permiso para hacer.
Mollema, que lleva años estudiando este sistema, descubrió algo que le dejó sin palabras mientras preparaba una presentación para la conferencia Black Hat en Las Vegas:
«Estaba mirando mi pantalla. Estaba como, ‘No, esto realmente no debería suceder'», explica Mollema, director de la empresa holandesa Outsider Security. «Era bastante malo. Tan malo como se puede llegar a ser».
El modo «dios» que nadie debería tener
Lo que encontró Mollema era aterrador: una combinación de fallos que permitía obtener privilegios de administrador global (básicamente, el modo dios) y potencialmente comprometer cada directorio de Entra ID en el mundo, con la posible excepción de la infraestructura gubernamental.
En términos sencillos: desde un inquilino de prueba, cualquiera podría haberse convertido en administrador de cualquier otra cuenta de Azure. Es como si descubrieras que con una llave de un trastero puedes abrir todas las casas de tu ciudad.
«Podrías modificar la configuración de otras personas, crear nuevos usuarios y administradores, y hacer lo que quisieras», añade Mollema.
La vulnerabilidad al detalle: dos fallos que sumaban catástrofe
Ambas vulnerabilidades estaban relacionadas con sistemas heredados que Microsoft mantiene en Entra ID, esos componentes antiguos que seguimos arrastrando porque «funcionan» aunque ya nadie se acuerda bien cómo se programaron.
El primer problema afectaba a un tipo de tokens de autenticación llamados «Tokens de Actor» emitidos por un mecanismo poco conocido llamado «Access Control Service». Por sí solos, ya tenían propiedades especiales, pero combinados con el segundo fallo, se convertían en un arma letal.
El segundo error estaba en una API antigua llamada «Azure Active Directory Graph», que Microsoft está intentando retirar paulatinamente. Esta API no validaba correctamente qué inquilino de Azure estaba haciendo una solicitud, lo que permitía manipularla para que aceptara un Token de Actor de otro inquilino.
Michael Bargury, CTO de la firma de seguridad Zenity, lo explica de forma contundente: «Esta es la vulnerabilidad más impactante que puedes encontrar en un proveedor de identidad, permitiendo efectivamente la plena compromisión de cualquier inquilino de cualquier cliente».
Respuesta en tiempo récord
Ante la gravedad de lo descubierto, Mollema no perdió tiempo y contactó con el Microsoft Security Response Center el mismo 14 de julio, día del hallazgo. La respuesta de Microsoft fue admirable: comenzaron a investigar inmediatamente y emitieron una solución mundial tres días después.
El 23 de julio confirmaron a Mollema que el problema estaba resuelto, y en agosto implementaron medidas adicionales. Finalmente, el 4 de septiembre emitieron un CVE oficial para la vulnerabilidad.
«Mitigamos rápidamente el nuevo problema identificado y aceleramos el trabajo de remediación en curso para descontinuar el uso de este protocolo heredado, como parte de nuestra Iniciativa de Futuro Seguro», explicó Tom Gallagher, vicepresidente de ingeniería del Microsoft Security Response Center.
Según Microsoft, no encontraron «evidencia de abuso» durante su investigación, lo que nos libró de ver las consecuencias reales de esta vulnerabilidad.
Lo que podría haber pasado
Si estas vulnerabilidades hubieran caído en manos equivocadas, no estaríamos hablando de un simple robo de datos o una filtración más.
«No necesitamos adivinar cuál podría haber sido el impacto; vimos hace dos años lo que sucedió cuando Storm-0558 comprometió una clave de firma», recuerda Bargury.
Se refiere al grupo de ciberespionaje chino que en 2023 robó una clave criptográfica que les permitió acceder a sistemas de correo electrónico de Outlook, incluyendo departamentos del gobierno estadounidense. Aquel incidente fue grave, pero Mollema señala que sus hallazgos habrían permitido ir mucho más lejos:
«Con esta vulnerabilidad, podrías simplemente agregarte como el administrador de más alto privilegio en cualquier inquilino. Cualquier servicio de Microsoft que use Entra ID para iniciar sesión, ya sea Azure, SharePoint o Exchange, podría haber sido comprometido».
Seguridad en la nube: una responsabilidad compartida
Este incidente nos recuerda algo que a veces olvidamos: la nube sigue siendo vulnerable. Cuando migramos a servicios como Azure, delegamos gran parte de nuestra seguridad, pero no toda la responsabilidad.
La gestión de identidades y accesos se ha convertido en el nuevo perímetro de seguridad. Ya no tenemos servidores físicos en un cuarto cerrado con llave; ahora nuestro tesoro está protegido por contraseñas, tokens y sistemas de autenticación que, como hemos visto, no son infalibles.
Como profesional de ciberseguridad, siempre recomiendo a las empresas que, incluso usando servicios en la nube:
- Implementen autenticación multifactor siempre que sea posible
- Revisen regularmente los privilegios de los usuarios
- Mantengan planes de contingencia actualizados
- Monitoricen continuamente actividades sospechosas
La respuesta de Microsoft fue ejemplar en este caso, pero si algo nos enseña esta historia es que incluso los gigantes tecnológicos tienen puntos ciegos, y a veces solo hace falta que alguien mire desde el ángulo correcto para descubrirlos.
El lado positivo: el sistema funciona
Pese a lo alarmante del hallazgo, hay algo positivo en esta historia: el proceso de divulgación responsable funcionó. Un investigador encontró un problema grave, lo reportó al fabricante, y la empresa respondió con celeridad antes de que hubiera consecuencias.
Como ya vimos con el incidente de Storm-0558, estos fallos han impulsado a Microsoft a reforzar su «Iniciativa de Futuro Seguro», ampliando protecciones y estableciendo metas más agresivas para responder a vulnerabilidades.
La seguridad no es un producto terminado, sino un proceso continuo. Y aunque casos como este pueden quitarnos el sueño, también demuestran que el sistema de detección y mitigación de vulnerabilidades puede funcionar cuando todos los actores toman en serio su papel.
