Vulnerabilidad en Cookies de Sesión Permite a Atacantes Eludir el MFA de Entra ID y Suplantar Usuarios

Una falla en un sistema personalizado de cookies de sesión permitió que un atacante no autenticado se hiciera pasar por empleados y administradores en una plataforma de gestión de patios. En su lugar, permitió que una capa de sesión débil del lado de la aplicación aceptara una identidad falsificada después de que se hubieran omitido los controles de inicio de sesión normales.

La plataforma afectada utilizó el inicio de sesión único de Entra ID y la autenticación de múltiples factores, pero también se basó en una cookie firmada para mantener las sesiones de la aplicación. Ese diseño creó el mismo riesgo que se observa en los ataques de adquisición de cuentas basados en cookies, donde el control de una sesión de confianza puede importar más que una contraseña. Resecurity dijo en un informe compartido con Cyber Security News (CSN) que su evaluación autorizada descubrió la debilidad mientras revisaba un sistema de gestión de la cadena de suministro. Los investigadores suplantaron con éxito 95 cuentas de empleados de 241 identificaciones de usuario probadas, incluidas cuentas con derechos elevados.

Vulnerabilidad de cookies de sesión La omisión provino de dos errores de diseño vinculados. La vulnerabilidad de las cookies posteriores a la sesión permite a los atacantes eludir Entra ID MFA y suplantar a los usuarios apareció primero en Cyber Security News.

Consultar publicación original ↗