CVE-2025-55241: Lỗ hổng Actor token cho phép chiếm quyền quản trị toàn cầu

[WhiteHat Team]

Mới đây, các chuyên gia an ninh mạng đã phát hiện lỗ hổng mang mã CVE-2025-55241, lỗ hổng trong cơ chế xác thực của Microsoft Entra ID (trước đây là Azure Active Directory). Lỗ hổng này cho phép một token duy nhất, lấy từ bất kỳ tài khoản thử nghiệm nào, có thể trao cho kẻ tấn công quyền quản trị toàn diện trên mọi tenant Entra ID toàn cầu, từ các tập đoàn Fortune 500 cho đến các doanh nghiệp nhỏ, không có tổ chức nào được coi là an toàn.

​

Nói cách khác, chỉ với một chìa khóa số duy nhất, tin tặc có thể mở mọi “cánh cửa” trong hệ thống Microsoft, từ dữ liệu người dùng, tài nguyên doanh nghiệp cho đến quyền quản trị cao nhất, mà gần như không để lại dấu vết trong nhật ký hệ thống.

Microsoft sử dụng một loại mã gọi là Actor token cho việc giao tiếp nội bộ giữa các dịch vụ. Vấn đề nằm ở chỗ, các token này không được kiểm tra chặt chẽ khi dùng qua ranh giới giữa các tenant. Điều đó có nghĩa là một token hợp lệ ở một môi trường thử nghiệm nhỏ có thể được tái sử dụng để truy cập và điều khiển tenant của bất kỳ tổ chức nào khác, kể cả chính Microsoft.

Theo phân tích của các chuyên gia, kẻ tấn công nếu chiếm được một tài khoản thử nghiệm đơn giản có thể:

• Giả mạo bất kỳ người dùng hoặc dịch vụ nào trong toàn hệ thống.
• Đọc toàn bộ dữ liệu nhạy cảm: danh tính người dùng, nhóm, ứng dụng, thậm chí cả khóa BitLocker.
• Tạo mới hoặc chiếm quyền quản trị viên toàn cầu.
• Thực hiện các thao tác như người dùng hợp pháp, khiến hoạt động gần như vô hình với các công cụ giám sát.

Lỗ hổng này không chỉ là một lỗi kỹ thuật đơn thuần, mà còn phơi bày vấn đề cốt lõi của mô hình bảo mật tập trung trong các nền tảng đám mây. Khi một hệ thống trao toàn quyền kiểm soát cho nhà cung cấp dịch vụ, chỉ cần điểm trung tâm này bị tổn thương, toàn bộ khách hàng cũng chịu ảnh hưởng.

Các sự cố trước đây như việc Okta bị lộ dữ liệu hỗ trợ khách hàng, Cisco để lộ tài khoản quản trị ẩn, hay những lỗ hổng nghiêm trọng trong giải pháp của Check Point, Zscaler, Netskope đều cho thấy một thực tế là chứng chỉ an toàn hay mô hình zero-trust truyền thống không đủ để ngăn chặn thảm họa nếu bản thân nền tảng trung tâm gặp sự cố.

Phạm vi ảnh hưởng của CVE-2025-55241 là gần như không giới hạn. Bất kỳ doanh nghiệp, tổ chức nào sử dụng Entra ID từ công ty khởi nghiệp đến tập đoàn đa quốc gia, đều có nguy cơ trở thành nạn nhân. Microsoft chính là một trong những mục tiêu dễ bị khai thác nhất, bởi tenant của hãng liên kết với hàng triệu khách hàng toàn cầu.

Trong kịch bản xấu nhất, chỉ từ một tài khoản thử nghiệm, tin tặc có thể lan rộng, chiếm quyền và đánh cắp dữ liệu ở hầu hết tenant trong vòng vài phút. Với Entra ID đóng vai trò xương sống của hạ tầng đám mây Microsoft, thiệt hại tiềm ẩn có thể vượt xa con số 10 nghìn tỷ USD thiệt hại từ tấn công mạng toàn cầu năm ngoái.

Vụ việc này nhấn mạnh một thực tế: mọi mô hình bảo mật truyền thống, kể cả zero-trust, đều đặt niềm tin tuyệt đối vào một “người gác cổng”. Và khi “người gác cổng” ấy bị đánh bại, toàn bộ hệ thống sụp đổ.

Giải pháp lâu dài được giới nghiên cứu đề xuất là chuyển sang mô hình phân quyền, không phụ thuộc vào một điểm kiểm soát duy nhất. Các kỹ thuật mật mã hiện đại cho phép xây dựng hệ thống mà trong đó:

• Không một nhà cung cấp hay quản trị viên nào có toàn quyền truy cập dữ liệu.
• Việc xác thực và cấp quyền dựa trên đồng thuận mật mã từ nhiều nút độc lập.
• Khóa bảo mật không tồn tại toàn vẹn tại một điểm, mà được chia nhỏ và phân tán.
• Ngay cả khi nhiều nút bị xâm nhập, kẻ tấn công vẫn không thể tạo token giả hay giải mã dữ liệu.

Khuyến nghị cho doanh nghiệp và người dùng

Trong khi mô hình phân quyền vẫn cần thời gian để phổ biến, hiện tại các tổ chức và cá nhân nên:

• Cập nhật hệ thống Entra ID lên bản vá mới nhất từ Microsoft.
• Tăng cường giám sát bất thường, đặc biệt với hoạt động quản trị viên.
• Giảm thiểu quyền truy cập đặc biệt, tránh để một tài khoản duy nhất có toàn quyền.
• Xem xét các giải pháp bảo mật bổ sung, đặc biệt cho dữ liệu quan trọng và hạ tầng thiết yếu.

Microsoft đã nhanh chóng phát hành bản vá cho CVE-2025-55241, nhưng sự cố này phơi bày một lỗ hổng mang tính kiến trúc hơn là lỗi kỹ thuật. Chừng nào hệ thống vẫn đặt toàn bộ niềm tin vào một trung tâm quyền lực duy nhất, những lỗ hổng kiểu “god mode” vẫn còn tiềm ẩn.

WhiteHat​