https://cyberveille.ch/tags/identity-governance/ Recent content in Identity Governance on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Mon, 05 Oct 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-10-05-escalade-de-privileges-via-microsoft-entra-identity-governance-faille-dans-la-gestion-des-permissions-api/ Mon, 05 Oct 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-10-05-escalade-de-privileges-via-microsoft-entra-identity-governance-faille-dans-la-gestion-des-permissions-api/ <h2 id="-contexte">🔍 Contexte</h2> <p>Article publié le 29 septembre 2026 sur cloud-architekt.net, issu d&rsquo;une recherche personnelle ayant donné lieu à une divulgation responsable auprès du <strong>Microsoft Security Response Center (MSRC)</strong>. L&rsquo;auteur documente une vulnérabilité dans <strong>Microsoft Entra Identity Governance</strong> affectant la gestion des permissions API dans les access packages.</p> <h2 id="-description-de-la-vulnérabilité">🧩 Description de la vulnérabilité</h2> <p>Un utilisateur disposant uniquement du rôle <strong>catalog owner</strong> (sans rôle Entra ID ni autorisation de resource owner) pouvait <strong>accorder des permissions Microsoft Graph API à un service principal</strong> via la fonctionnalité de support des permissions API introduite en novembre 2025 dans Identity Governance.</p>