Критическая уязвимость в сервисе синхронизации Microsoft Entra Provisioning Service создаёт риск полной компрометации облачных каталогов

В начале июля специалисты Microsoft подтвердили существование опасной уязвимости в сервисе синхронизации каталогов Entra Provisioning Service. Этот компонент используется для автоматического переноса учётных записей и групп между локальной инфраструктурой и облачной платформой Microsoft Entra ID. Проблема получила идентификатор CVE-2026-57100 и уже включена в Банк данных угроз безопасности информации под номером BDU:2026-09886. Речь идёт об уязвимости, которая позволяет удалённому злоумышленнику, имеющему учётную запись в системе, значительно расширить свои полномочия. Иными словами, атакующий может получить доступ к данным и функциям, для которых у него изначально не было разрешений.

Детали уязвимости

Разработчики допустили недостаточную проверку входящих запросов на стороне сервера. Согласно классификации CWE, это относится к типу "серверная фальсификация запросов" (CWE-918). На практике такой дефект позволяет злоумышленнику отправлять поддельные запросы от имени доверенного сервера. Примерно так работает данная уязвимость: начав с ограниченных прав, нарушитель может манипулировать механизмами синхронизации и получать всё более высокие привилегии вплоть до полного контроля.

Оценка опасности говорит сама за себя. По старой шкале CVSS 2.0 базовая оценка составила 9 баллов из 10 возможных, что соответствует высокому уровню опасности. Однако более современная версия CVSS 3.1 дала уже 9,9 балла - это критический уровень. Такая высокая оценка объясняется сразу несколькими факторами. Во-первых, для атаки не требуется сложного оборудования или специальных условий: достаточно стандартного сетевого доступа. Во-вторых, сам процесс эксплуатации не требует сложных действий со стороны злоумышленника. В-третьих, успешная атака затрагивает не только сервис синхронизации, но и всю облачную инфраструктуру, с которой он взаимодействует. Это означает, что нарушитель может получить доступ к конфиденциальным данным учётных записей, изменить настройки аутентификации и даже заблокировать доступ легитимных пользователей.

Стоит особо подчеркнуть, что Microsoft уже выпустила исправление. Компания опубликовала обновление в своём центре безопасности. Статус уязвимости подтверждён производителем, и теперь задача администраторов - как можно быстрее установить патч. Однако есть важный нюанс: данные о наличии готового эксплойта пока уточняются. Это создаёт риск, что злоумышленники могут разработать инструмент для атаки раньше, чем организации успеют обновиться. К счастью, способ устранения стандартный и не требует сложных действий - достаточно установить свежую версию программного обеспечения.

Кому следует обратить особое внимание на эту проблему? Прежде всего, компаниям, которые активно используют Microsoft Entra ID (ранее известный как Azure Active Directory) и его сервис синхронизации Provisioning Service. Речь идёт о предприятиях любого размера: от среднего бизнеса до крупных корпораций и государственных учреждений. Сервис синхронизации автоматически переносит данные между локальными каталогами и облаком, что делает его критическим звеном в инфраструктуре идентификации. Если злоумышленник получает контроль над этим компонентом, он может создать фальшивые учётные записи для всех сотрудников, изменить права доступа или даже удалить ключевые объекты каталога.

Особую тревогу вызывает тот факт, что уязвимость имеет высокую оценку по шкале CVSS 3.1 именно из-за возможности эскалации привилегий. На практике нарушитель, эксплуатирующий этот дефект, может перейти от ограниченной роли обычного пользователя к роли администратора всей облачной среды. Это открывает путь к самым серьёзным последствиям: краже паролей, доступу к конфиденциальным документам, изменению политик безопасности и даже полной блокировке доступа для легитимных сотрудников.

Рекомендация для специалистов по информационной безопасности очевидна: немедленно установить обновление, выпущенное Microsoft. Однако это лишь первый шаг. После установки патча стоит провести аудит событий в системе на предмет возможных попыток эксплуатации. Важно также временно усилить мониторинг действий всех учётных записей, имеющих доступ к сервису синхронизации. И конечно, стоит пересмотреть политику назначения прав: чем меньше пользователей имеют доступ к Provisioning Service, тем ниже риск.

С точки зрения архитектуры безопасности, данный инцидент напоминает о важности принципа минимальных привилегий. Даже если уязвимость существует, но у злоумышленника нет учётной записи в системе, атака становится невозможной. К сожалению, на практике многие организации предоставляют слишком широкие права большому числу сотрудников. Этот случай - ещё один повод пересмотреть такую практику.

В целом, история с уязвимостью CVE-2026-57100 показательна: даже у такого гиганта, как Microsoft, могут возникать серьёзные ошибки в критических компонентах. И хотя производитель оперативно выпустил исправление, скорость реакции администраторов всё равно остаётся решающим фактором.

Детали уязвимости

Ссылки