Un investigador logra cinco compromisos entre inquilinos en Azure y cobra 200.000 dólares
Azure's Weakest Link – Five Full Cross-Tenant Compromises
El investigador de Binary Security detalla cómo las API Connections de Azure Logic Apps permiten a un atacante tomar el control de conexiones ajenas y acceder a Key Vaults, bases de datos Azure SQL, Jira o Salesforce de otras organizaciones. Tras el primer parche, encontró funciones ocultas como DynamicList y un parámetro RuntimeUrl que reabrían el fallo mediante path traversal. Microsoft acabó bloqueando los endpoints y pagó 200.000 dólares en recompensas.
Cada una de las vulnerabilidades de este sistema otorga al atacante las mismas primitivas: comprometer por completo cualquier conexión del mundo y acceder al backend conectado.
- unddoch
Si alguien del equipo de seguridad de Microsoft lee esto, ¿podrían hacer algo con login.microsoftonline.com/XXX/v2.0/adminconsent?
La callback a la que redirigís al usuario al final de ese flujo es falsificable si un atacante conoce el ID de tenant de Azure de otro cliente, y poner una advertencia en la documentación tipo "Never use the tenant ID value of the tenant parameter to authenticate or authorize users" solo sirve mientras exista una forma de autenticar usuarios.
- meekins
En lo que respecta a la cantidad de filtraciones entre tenants, Azure parece ir muy por delante de la competencia. Me hace preguntarme por qué las empresas siguen yendo en masa allí.
- giovanni_or2
Este tipo debe ser la pesadilla de los desarrolladores de Azure, ¡felicidades por el increíble trabajo encontrando estas vulnerabilidades!
- albert_e
¿quizá deberíamos etiquetar las publicaciones con fechas ahora?
[2026-10-02]
el principio del mes actual parece de hace dos años, cuando caen múltiples vulns a diario
- thewisenerd
path traversal e IDOR..
probablemente han estado activos desde el inicio de estas funcionalidades
me pregunto si la recomendación de "add randomness to resource names" es por esto (security by obscurity no relacionado, lol)