Microsoft expone las API en Entra ID para permitir que las aplicaciones de terceros realicen acciones en los servicios de Microsoft en nombre de los usuarios (lo que se denomina “permisos delegados”). Algunos permisos pueden representar una amenaza grave a la totalidad del inquilino de Microsoft Entra.

Microsoft expone las API a través de aplicaciones en Entra ID para permitir que las aplicaciones de terceros realicen acciones en Microsoft Entra ID, Microsoft 365 (O365), la nube de Azure, etc. Los “permisos de API” protegen el acceso a estas API, que solo deben estar a disposición de las entidades de servicio que los necesitan. La aprobación de permisos se denomina “asignación del rol de aplicación” o “concesión de consentimiento”.
Ciertos permisos de algunas API de Microsoft (consulte a continuación) pueden representar una amenaza grave a la totalidad del inquilino de Microsoft Entra, ya que una entidad de servicio con estos permisos se torna muy potente, a la vez que es más discreta que un usuario con un rol de administrador potente, como un administrador global. Si un atacante se aprovecha de esto, podría saltarse la autenticación multifactor (MFA) y resistir los restablecimientos de contraseña de los usuarios.
Los permisos, cuando son legítimos, aumentan la superficie de ataque del inquilino. Cuando no son legítimos, pueden tratarse de un intento malintencionado de aplicar el método de escalamiento de privilegios o de persistencia.
Hay dos tipos de permisos de API en Microsoft Entra ID, como se describe en la documentación de Microsoft <a href="https://learn.microsoft.com/es-es/entra/identity-platform/permissions-consent-overview">Información general sobre los permisos y el consentimiento</a>:
<ul>
<li>Permisos de aplicación: consulte el indicador de exposición relacionado “Permisos de aplicación peligrosos que afectan al inquilino”.</li>
<li>Permisos delegados: este indicador de exposición examina este segundo tipo, consulte el indicador de exposición relacionado “Permisos delegados peligrosos que afectan a los datos” para ver las amenazas a los datos confidenciales del entorno. El consentimiento proviene de los usuarios o administradores en nombre de toda la organización. Tenga en cuenta que estos permisos limitan la capacidad de la aplicación de realizar acciones en función del privilegio del usuario que inició sesión (es decir, la intersección del permiso con el nivel de privilegio del usuario). Por lo tanto, el nivel de peligrosidad de estos permisos delegados depende de los permisos reales del usuario de la aplicación, según se describe en <a href="https://learn.microsoft.com/es-es/security/zero-trust/develop/developer-strategy-delegated-permission">Developing delegated permissions strategy</a> (texto en inglés). Ejemplo: Si un usuario normal delegó el permiso “Group.ReadWrite.All”, en realidad permite que la aplicación modifique solo los grupos que el usuario puede editar, no todos los grupos. Microsoft los <a href="https://learn.microsoft.com/es-es/security/operations/incident-response-playbook-app-consent#delegated-permissions-vs-application-permissions">describe</a> de la siguiente forma:</li>
</ul>
<blockquote>
Los permisos delegados se usan por las aplicaciones que tienen un usuario que ha iniciado sesión y que, además, pueden recibir consentimiento del administrador o el usuario.
</blockquote>
Este indicador de exposición (IoE) solo informa acerca de las entidades de servicio, ya que los permisos de API solo se aplican a las entidades de servicio, no a los usuarios.
Este IoE hace un seguimiento de los siguientes permisos peligrosos que permiten acceder a <a href="https://learn.microsoft.com/es-es/graph/overview">Microsoft Graph API</a> y la versión heredada de <a href="https://learn.microsoft.com/es-es/graph/migrate-azure-ad-graph-overview">Azure AD Graph API</a>:
<ul>
<li><code>AdministrativeUnit.ReadWrite.All</code>: permite a los atacantes quitar un Administrador global de una <a href="https://learn.microsoft.com/es-es/entra/identity/role-based-access-control/admin-units-restricted-management">unidad administrativa de administración restringida (RMAU)</a> para luego restablecer la contraseña si se combina con otros permisos.</li>
<li><code>Application.ReadWrite.All</code>: permite a los atacantes inyectar credenciales de autenticación en aplicaciones con privilegios más elevados, lo que permite el acceso no autorizado hasta un Administrador global a través de la suplantación de identidad.</li>
<li><code>Application.ReadWrite.OwnedBy</code>: es igual a <code>Application.ReadWrite.All</code>, pero se aplica únicamente a las entidades de servicio que son propiedad de la entidad de servicio informada. Tenga en cuenta que normalmente no está disponible como permiso delegado.</li>
<li><code>AppRoleAssignment.ReadWrite.All</code>: permite a los atacantes otorgarse a sí mismos el permiso <code>RoleManagement.ReadWrite.Directory</code>.</li>
<li><code>DeviceManagementConfiguration.ReadWrite.All</code>: permite a los atacantes vulnerar dispositivos administrados por Intune mediante la implementación de scripts de administración malintencionados, tal como lo describe Mandiant en <a href="https://cloud.google.com/blog/topics/threat-intelligence/abusing-intune-permissions-entra-id-environments/">(In)tuned to Takeovers: Abusing Intune Permissions for Lateral Movement and Privilege Escalation in Entra ID Native Environments</a> (texto en inglés). Esto puede permitir el escalamiento de privilegios hasta el Administrador global si un administrador usa un dispositivo administrado por Intune.</li>
<li><code>DeviceManagementRBAC.ReadWrite.All</code>: permite a los atacantes asignar roles privilegiados de Intune a una cuenta que controlan, lo que les permite ejecutar comandos arbitrarios en dispositivos de Intune, como se describe en <code>DeviceManagementConfiguration.ReadWrite.All</code>.</li>
<li><code>Directory.ReadWrite.All</code>: permite a los atacantes agregarse a sí mismos como miembros de grupos a los que no se les pueden asignar roles, lo que les permitiría obtener privilegios en la nube de Azure. Esto puede permitirles obtener acceso adicional a los recursos de Azure, lo que puede llevar a un escalamiento de privilegios hasta el Administrador global en Entra ID (por ejemplo, a través de identidades administradas) o incluso a Administradores de dominio en Active Directory (por ejemplo, a través de VM de controlador de dominio alojadas en Azure).</li>
<li><code>Domain.ReadWrite.All</code>: permite que los atacantes agreguen un dominio federado y se autentiquen como cualquier usuario, incluso como Administrador global, a la vez que evaden los requisitos de contraseña y MFA.</li>
<li><code>EntitlementManagement.ReadWrite.All</code>: permite a los atacantes actualizar la política de asignación de un paquete de acceso que otorga el rol Administrador global, lo que les permite solicitar el rol sin aprobación.</li>
<li><code>Group.ReadWrite.All</code>: es igual a <code>Directory.ReadWrite.All</code></li>
<li><code>GroupMember.ReadWrite.All</code>: es igual a <code>Directory.ReadWrite.All</code></li>
<li><code>Organization.ReadWrite.All</code>: permite a los atacantes agregar un certificado raíz de confianza a Entra ID y autenticarse como cualquier usuario, incluidos aquellos asignados al Administrador global. Esto exige que la <a href="https://learn.microsoft.com/es-es/entra/identity/authentication/concept-certificate-based-authentication">autenticación basada en certificados (CBA)</a> esté habilitada o, si no lo está, el permiso <code>Policy.ReadWrite.AuthenticationMethod</code> para habilitar la CBA de antemano.</li>
<li><code>Policy.ReadWrite.AuthenticationMethod</code>: permite a los atacantes habilitar el método de autenticación <a href="https://learn.microsoft.com/es-es/entra/identity/authentication/howto-authentication-temporary-access-pass">Pase de acceso temporal (TAP)</a>, que es un requisito previo para explotar el permiso <code>UserAuthenticationMethod.ReadWrite.All</code> cuando se combina con este. Como alternativa, permite a los atacantes habilitar la <a href="https://learn.microsoft.com/es-es/entra/identity/authentication/concept-certificate-based-authentication">autenticación basada en certificados (CBA)</a> para explotar el permiso <code>Organization.ReadWrite.All</code>.</li>
<li><code>Policy.ReadWrite.PermissionGrant</code>: permite a los atacantes crear una <a href="https://learn.microsoft.com/es-es/graph/api/permissiongrantpolicy-post-includes?view=graph-rest-1.0&amp;tabs=http">política de concesión de permisos</a> para una entidad de servicio controlada, lo que otorga el permiso <code>RoleManagement.ReadWrite.Directory</code> y habilita la explotación.</li>
<li><code>PrivilegedAccess.ReadWrite.AzureADGroup</code>: permite a los atacantes agregar una cuenta de usuario controlada como miembro de un grupo asignado al rol Administrador global.</li>
<li><code>PrivilegedAssignmentSchedule.ReadWrite.AzureADGroup</code>: es igual a <code>PrivilegedAccess.ReadWrite.AzureADGroup</code>.</li>
<li><code>PrivilegedEligibilitySchedule.ReadWrite.AzureADGroup</code>: permite a los atacantes hacer que una cuenta de usuario controlada sea elegible para un grupo asignado al rol Administrador global y luego activar la membresía para escalar privilegios.</li>
<li><code>RoleAssignmentSchedule.ReadWrite.Directory</code>: permite a los atacantes asignar el rol Administrador global a una cuenta de usuario controlada mediante la creación de una asignación de rol de PIM activa.</li>
<li><code>RoleEligibilitySchedule.ReadWrite.Directory</code>: permite a los atacantes hacer que una cuenta de usuario controlada sea elegible para el rol Administrador global y luego activarla para escalar privilegios.</li>
<li><code>RoleManagement.ReadWrite.Directory</code>: permite a los atacantes elevarse a sí mismos hasta el rol Administrador global.</li>
<li><code>RoleManagementPolicy.ReadWrite.AzureADGroup</code>: permite a los atacantes quitar asignaciones de roles de grupo y restricciones de activación, como requisitos de MFA o aprobación de administradores, para aprovechar <code>PrivilegedAccess.ReadWrite.AzureADGroup</code>, <code>PrivilegedAssignmentSchedule.ReadWrite.AzureADGroup</code> o <code>PrivilegedEligibilitySchedule.ReadWrite.AzureADGroup</code> y seguir la misma ruta que esos permisos en un inquilino con configuraciones de PIM estrictas.</li>
<li><code>RoleManagementPolicy.ReadWrite.Directory</code>: permite a los atacantes quitar asignaciones de roles de Entra y restricciones de activación, como requisitos de MFA o aprobación de administradores, para aprovechar <code>RoleAssignmentSchedule.ReadWrite.Directory</code> o <code>RoleEligibilitySchedule.ReadWrite.Directory</code> y seguir la misma ruta que esos permisos en un inquilino con configuraciones de PIM estrictas.</li>
<li><code>User.DeleteRestore.All</code>: permite a los atacantes eliminar todas las cuentas de usuario del inquilino, por lo que deja de estar disponible, para luego exigir un rescate para restaurar una de las cuentas de emergencia. Si bien no permite el escalamiento hasta Administrador global, interrumpe el acceso.</li>
<li><code>User.EnableDisableAccount.All</code>: permite a los atacantes deshabilitar todas las cuentas de usuario del inquilino, por lo que deja de estar disponible, para luego exigir un rescate para restaurar una de las cuentas de emergencia. Si bien no permite el escalamiento hasta Administrador global, interrumpe el acceso.</li>
<li><code>User.ReadWrite.All</code>: permite a los atacantes editar propiedades confidenciales de una cuenta de usuario controlada, como “Id. de empleado” y “Departamento”, para convertirla en miembro de un grupo dinámico (consulte el IoE correspondiente) con permisos privilegiados de Azure asignados. Luego, pueden aprovechar los recursos de Azure para finalmente escalar hasta Administrador global.</li>
<li><code>User-PasswordProfile.ReadWrite.All</code>: es igual a <code>Directory.ReadWrite.All</code></li>
<li><code>UserAuthenticationMethod.ReadWrite.All</code>: permite a los atacantes generar un <a href="https://learn.microsoft.com/es-es/entra/identity/authentication/howto-authentication-temporary-access-pass">Pase de acceso temporal (TAP)</a> y tomar el control de cualquier cuenta de usuario del inquilino. Si el TAP aún no está habilitado, deben combinar esto con <code>Policy.ReadWrite.AuthenticationMethod</code> para habilitar el TAP como método de autenticación en el inquilino (consulte el IoE correspondiente).</li>
</ul>
Este IoE también hace un seguimiento de <a href="https://www.tenable.com/blog/despite-recent-security-hardening-entra-id-synchronization-feature-remains-open-for-abuse">este permiso peligroso</a> de la API del “servicio de sincronización de Microsoft Entra AD”:
<ul>
<li><code>ADSynchronization.ReadWrite.All</code>: permite que los atacantes llamen a la API de sincronización sin documentar, lo que les permite modificar cuentas de usuario híbridas y restablecer sus contraseñas.</li>
</ul>
Las aplicaciones legítimas con estos permisos peligrosos solicitan un acceso que puede ser excesivamente amplio. Esto también puede indicar un ataque de phishing denominado “concesión de consentimiento ilícito”, en el que un atacante logra obtener el consentimiento de un administrador.
De manera predeterminada, este IoE ignora las entidades de servicio deshabilitadas porque los atacantes no pueden usarlas de inmediato.
Referencias externas:
<ul>
<li><a href="https://posts.specterops.io/azure-privilege-escalation-via-azure-api-permissions-abuse-74aee1006f48">Andy Robbins - Azure Privilege Escalation via Azure API Permissions Abuse</a> (texto en inglés)</li>
<li><a href="https://posts.specterops.io/directory-readwrite-all-is-not-as-powerful-as-you-might-think-c5b09a8f78a8">Andy Robbins - Directory.ReadWrite.All Is Not As Powerful As You Might Think</a> (texto en inglés)</li>
<li><a href="https://csandker.io/2022/11/10/Untangling-Azure-II-Privileged-Access.html">Carsten Sandker - Untangling Azure Active Directory Permissions II: Privileged Access</a> (texto en inglés)</li>
<li><a href="https://dirkjanm.io/azure-ad-privilege-escalation-application-admin/">Dirk-jan Mollema - Azure AD privilege escalation - Taking over default application permissions as Application Admin</a> (texto en inglés)</li>
<li><a href="https://github.com/emiliensocchi/azure-tiering/tree/main/Microsoft%20Graph%20application%20permissions#-tier-0-family-of-global-admins">Emilien Socchi - Tier 0 permissions</a> (texto en inglés) (consúltelo para obtener más detalles, incluidas las justificaciones de explotabilidad)</li>
<li><a href="https://m365internals.com/2021/07/24/everything-about-service-principals-applications-and-api-permissions/">Huy Kha - Everything about Service Principals, Applications, and API Permissions</a> (texto en inglés)</li>
<li><a href="https://www.inversecos.com/2021/10/how-to-backdoor-azure-applications-and.html">Lina Lau - How to Backdoor Azure Applications and Abuse Service Principals</a> (texto en inglés)</li>
<li><a href="https://cloud.google.com/blog/topics/threat-intelligence/abusing-intune-permissions-entra-id-environments/">Mandiant Red Team - (In)tuned to Takeovers: Abusing Intune Permissions for Lateral Movement and Privilege Escalation in Entra ID Native Environments</a> (texto en inglés)</li>
<li><a href="https://youtu.be/jMOFWVOm-Y4?t=2229">Marius Solbakken Mellum - Surprising ways to escalate privileges in Entra ID</a> (texto en inglés)</li>
<li><a href="https://winsmarts.com/how-to-grant-admin-consent-to-an-api-programmatically-e32f4a100e9d">Sahil Malik - How to grant admin consent to an API programmatically</a> (texto en inglés)</li>
<li><a href="https://learningbydoing.cloud/blog/audit-ms-graph-app-role-assignments/">Stian A. Strysse - What's lurking in your Microsoft Graph app role assignments?</a> (texto en inglés)</li>
</ul>

Initial Access (texto en inglés)

Phishing (texto en inglés)

Persistence (texto en inglés)

Cloud Application Integration (texto en inglés)

Detecciones

Permisos delegados peligrosos que afectan al inquilino

HIGH

Version 202411251447