Los atacantes pueden aprovecharse de los grupos dinámicos en Microsoft Entra ID mediante la manipulación de atributos automodificables, lo que les permite agregarse como miembros del grupo. Esta manipulación permite el escalamiento de privilegios y el acceso no autorizado a recursos confidenciales ligados a los grupos.

Los <a href="https://learn.microsoft.com/es-es/entra/identity/users/groups-create-rule">grupos dinámicos en Microsoft Entra ID</a> son una funcionalidad potente que requiere una licencia P1 o superior. Estos grupos actualizan automáticamente su pertenencia según <a href="https://learn.microsoft.com/es-es/entra/identity/users/groups-dynamic-membership">reglas específicas</a> ligadas a los atributos del usuario. Sin embargo, si las reglas se basan en atributos que los usuarios pueden modificar por sí mismos, se vuelven vulnerables a la explotación.
Un atacante con la capacidad de modificar un atributo que se use en una regla de un grupo dinámico puede manipular su pertenencia. Este error de configuración puede generar accesos no autorizados o el escalamiento de privilegios si el grupo otorga acceso a recursos confidenciales.
Si bien un usuario no puede modificar muchos de los atributos de un inquilino, las cuentas de invitado son una excepción. Un usuario invitado controlado por un atacante, con privilegios administrativos en el inquilino local del atacante, puede modificar atributos allí y explotar la regla del grupo dinámico en el inquilino de destino.
Este problema, inicialmente señalado en la literatura sobre investigaciones de seguridad y pruebas de penetración alrededor de 2020, sigue siendo un vector de ataque viable en entornos mal configurados. Desde finales de 2024, la herramienta de ataque AADInternals ha incluido una función para identificar grupos explotables.
Posible escenario de ataque:
<ol>
<li>Reconocimiento: un atacante obtiene acceso a un inquilino como usuario estándar sin ningún rol privilegiado. De manera predeterminada, puede enumerar los grupos y ver las reglas de los grupos dinámicos.</li>
<li>Selección del objetivo: los atacantes identifican grupos dinámicos con permisos confidenciales, como roles privilegiados de Azure en las suscripciones. Apuntan a reglas que usan atributos explotables, como <code>displayName</code>, que contienen palabras clave específicas (por ejemplo, “admin”).</li>
<li>Preparación malintencionada: los atacantes crean un usuario en su propio inquilino de Entra cuyos atributos coinciden con las reglas de pertenencia del grupo objetivo.</li>
<li>Invitación de invitado: los atacantes invitan a este usuario malintencionado como invitado al inquilino de destino.</li>
<li>Explotación de reglas: cuando el invitado malintencionado acepta la invitación, se crea su cuenta en el inquilino de destino, y las reglas de pertenencia del grupo dinámico procesan sus atributos.</li>
<li>Escalamiento: el invitado malintencionado se une automáticamente al grupo dinámico y hereda sus permisos (por ejemplo, roles privilegiados en suscripciones a Azure) a los pocos minutos de la creación de la cuenta.</li>
</ol>
El riesgo y la gravedad resultante dependen de estos factores:
<ul>
<li>Configuración de acceso de los invitados: las restricciones débiles para invitados mejoran la viabilidad del ataque. El riesgo aumenta con la capacidad de invitar a invitados y ver las reglas del grupo (consulte los indicadores de exposición relacionados “Cuentas de invitado sin restricciones” y “Cuentas de invitado con acceso equivalente al de las cuentas normales”).</li>
<li>Alcance del acceso al grupo: la gravedad de la explotación depende de los recursos que el grupo controla, que pueden incluir:<ul>
<li>Servicios de Microsoft 365 (canales de Teams, sitios de SharePoint, bandejas de entrada de Exchange)</li>
<li>Recursos en la nube de Azure</li>
<li>Otras aplicaciones integradas</li>
</ul>
</li>
</ul>

Privilege Escalation (texto en inglés)

Detecciones

Grupo dinámico con una regla explotable

MEDIUM

Version 202412121441