Azure AD Graph

Selon Cyber Security News, une vulnérabilité critique (CVE-2025-55241) découverte en juillet 2025 par Dirk-jan Mollema et désormais corrigée par Microsoft, permettait à un attaquant de s’octroyer des privilèges d’administrateur global sur n’importe quel tenant Entra ID. Nature de la faille ⚠️: combinaison d’un mécanisme d’authentification legacy via des Actor tokens (jetons internes non soumis aux politiques de sécurité classiques comme le Conditional Access) et d’un défaut de validation dans l’API Azure AD Graph (ancienne API) qui n’assurait pas que le jeton provenait du même tenant. ...

Dans un billet de blog publié le 17 septembre 2025, le chercheur Dirk-jan Mollema détaille la vulnérabilité la plus impactante qu’il dit avoir trouvée dans Entra ID : un défaut de validation dans l’API Azure AD Graph combiné à des « Actor tokens » internes permettait d’usurper n’importe quel utilisateur — y compris des Global Admins — dans tout tenant, aboutissant à une compromission totale. Microsoft a corrigé rapidement et attribué l’identifiant CVE-2025-55241. ...