Las aplicaciones de Entra, que permiten la autenticación de varios inquilinos, pueden brindar acceso no autorizado a usuarios malintencionados si esta configuración no se habilitó con pleno conocimiento y sin poner en práctica verificaciones de autorización adecuadas en el código de la aplicación.

<a href="https://learn.microsoft.com/es-es/entra/identity-platform/application-model#register-an-application">Las aplicaciones registradas en Microsoft Entra ID</a> para facilitar el inicio de sesión pueden solicitar autenticación de inquilino único o de varios inquilinos, lo que también se conoce como “público de inicio de sesión”. La autenticación de un solo inquilino restringe el acceso a los usuarios del mismo inquilino, mientras que la autenticación de varios inquilinos permite el acceso a los usuarios de cualquier inquilino de Entra. Esta <a href="https://learn.microsoft.com/es-es/entra/identity-platform/single-and-multi-tenant-apps">distinción entre aplicaciones de un solo inquilino y multiinquilino</a> puede tener consecuencias de seguridad. No configurar una aplicación como multiinquilino con plena conciencia de sus consecuencias y sin poner en práctica las precauciones necesarias puede suponer riesgos de seguridad. 
La exposición de las aplicaciones multiinquilino es mayor debido a la posibilidad de que un usuario de Entra malintencionado proveniente de cualquier inquilino descubra la aplicación y acceda a ella. Si el código de la aplicación no tiene en cuenta esta configuración, por ejemplo, si no compara el inquilino de origen del usuario con una lista de usuarios autorizados, puede producirse un acceso no autorizado. Las aplicaciones vulnerables son aquellas que suponen que la autenticación es legítima y otorgan acceso únicamente en función de la presentación de un token válido, sin realizar verificaciones adicionales. Este tipo de vulnerabilidad entra dentro del ámbito de las fallas de “autenticación (AuthN) frente a autorización (AuthZ)”. Según el “modelo de responsabilidad compartida”, Entra ID se encarga de la autenticación del usuario, mientras que el aspecto relacionado con la autorización es responsabilidad de la aplicación.
Incluso Microsoft fue víctima de esta confusión en marzo de 2023, como se detalla en el estudio de caso “<a href="https://www.wiz.io/blog/azure-active-directory-bing-misconfiguration">BingBang</a>”. Los investigadores de seguridad pudieron aprovechar este error de configuración para vulnerar varias aplicaciones de Microsoft, incluido el portal de administración del motor de búsqueda Bing. Microsoft abordó esta vulnerabilidad en su aplicación, pero sirve como recordatorio de que vulnerabilidades similares podrían afectar sus propias aplicaciones y debe revisarlas y rectificarlas según sea necesario.
Las aplicaciones multiinquilino también son propensas a otras confusiones de autenticación, como la <a href="https://www.descope.com/blog/post/noauth">falla nOAuth</a>.
Existen casos de uso legítimos para aplicaciones multiinquilino, en especial si la organización aloja aplicaciones destinadas al acceso por parte de otras organizaciones (por ejemplo, como proveedor de software o para colaboración entre organizaciones) o de usuarios de otro inquilino, pero dentro de la misma organización (por ejemplo, con un inquilino por subsidiaria). Estas aplicaciones solo son vulnerables si dependen únicamente de una autenticación correcta sin llevar a cabo verificaciones de autorización adicionales.
Este indicador de exposición no puede determinar si una aplicación está destinada a ser pública o si la autenticación de varios inquilinos se habilitó a propósito. Tampoco puede determinar si el multiinquilinato es realmente necesario y, sin acceso al código de la aplicación, no puede verificar si se cumplieron las verificaciones de autorización necesarias. Por estos motivos, marca todas las aplicaciones multiinquilino como hallazgos que se deben revisar de manera individual. Una vez que las confirme, se pueden marcar como ignoradas.

Initial Access (texto en inglés)

Valid Accounts: Cloud Accounts (texto en inglés)

Detecciones

Aplicación que permite la autenticación de varios inquilinos

LOW

Version 202404171632