Vulnerabilidad Crítica en Microsoft Entra ID 'nOAuth' Permite Toma de Cuenta en el 10% de las Aplicaciones SaaS

Investigaciones recientes han revelado una grave vulnerabilidad en Microsoft Entra ID, denominada 'nOAuth', que podría afectar al 10% de las más de 150,000 aplicaciones SaaS disponibles a nivel mundial. Esta vulnerabilidad involucra un defecto en la autenticación cruzada de inquilinos en las integraciones de Entra ID, lo que permite a los atacantes tomar el control completo de una cuenta con solo acceder al inquilino de Entra y al correo electrónico de la víctima.

La vulnerabilidad fue inicialmente divulgada en 2023, pero muchas aplicaciones aún permanecen afectadas. Semperis, la compañía que ha lanzado este informe, advierte que los proveedores de aplicaciones deben emitir parches para evitar el riesgo de toma de cuenta. Lo más alarmante es que este ataque es de baja complejidad y bajo esfuerzo, ya que puede eludir incluso la autenticación multifactor (MFA), las políticas de acceso condicional y la arquitectura de seguridad de confianza cero, características comunes de empresas con una postura de ciberseguridad fuerte.

Es imperativo que los desarrolladores de aplicaciones actúen rápidamente para mitigar los riesgos asociados con esta vulnerabilidad y proteger la información de los usuarios.