Microsoft Entra IDの欠陥により、あらゆる企業のテナントがハッキング可能な状態だった（CVE-2025-55241）

佐々山 Tacos

2025.09.22

Microsoft Entra IDの欠陥により、あらゆる企業のテナントがハッキング可能な状態だった（CVE-2025-55241）

BleepingComputer – September 21, 2025

Microsoftのレガシーコンポーネントを利用することにより、世界各地のあらゆる企業のEntra IDテナントの侵害が可能な状態だったことが明らかに。セキュリティ研究者のDirk-jan Mollema氏が、「Actorトークン」というこれまで文書化されていなかったトークンと、レガシーAPI「Azure AD Graph API」の脆弱性CVE-2025-55241を組み合わせてEntra IDテナントへのフルアクセスを獲得した方法について解説した。

Actorトークンが「なりすましトークン」に

Mollema氏は、Exchangeのハイブリッド展開について調査中、「Access Control Service」というサービスに遭遇。レガシーサービスと思われるこのサービスが、Actorトークンを発行していたという。Mollema氏が「なりすましトークン」と表現するActorトークンは、SharePointアプリケーションの認証に利用されるほか、マイクロソフトがS2S通信のためにバックエンドで用いるもの。Exchangeは、ユーザーに代わってほかのサービスと通信する際にActorトークンを要求し、Actorトークンはこれを受けて、Exchange OnlineやSharePoint、Azure AD Graphとの通信時に、Exchangeが当該テナント内の別ユーザーとして「Actする（振る舞う）」ことを可能にする。

ただ、Actorトークンには署名がなされないことから、テナント内の任意のユーザーへのなりすましに用いることが可能な上、トークンの有効期間（24時間）中は無効化できないという。このほかにも、以下に示すように本来あるべきセキュリティ制御のほとんどすべてが欠けているとして、Mollema氏は「このActorトークンの設計全体が、そもそも存在すべきではなかったものだ」と指摘している。

Actorトークンが発行された際のログは存在しない
ExchangeやSharePoint といったサービスはEntra IDと通信せずとも署名なしのなりすましトークン（Actorトークン）を作成できるため、Entra ID側には作成時や使用時のログも存在しない。
24時間の有効期間中は失効できない。
条件付きアクセス機能で設定された制限を完全に回避する。
テナント内でこれらのトークンが使用された事実を把握するためだけにも、リソースプロバイダー側のログ記録に頼らねばならない。

Azure AD Graph APIの脆弱性：CVE-2025-55241

Mollema氏はActorトークンをどう利用できるかについて、考え得るものをいくつかテスト。試しにテナントIDをトークンの生成元とは異なるものに変更してAzure AD Graph API（graph.windows.net）に送信したところ、トークン自体は有効だが、ユーザーのIDがテナント内で見つからなかったためアクセスが許可されなかったことを示すエラーが確認された。そこでMollema氏は、ターゲットテナントの有効なユーザーIDを使って再度試したところ、Azure AD Graph APIは要求されたデータを返したという。このAzure AD Graph APIが元のテナントを適切に検証しない問題（CVE-2025-55241）により、Actorトークンをクロステナントアクセスに利用可能となる。さらに同氏は、ほかにもいくつかのテスト用テナントでも同じことを試し、ターゲットテナントのIDとテナント内ユーザーのnetIdさえわかれば他のテナントのデータにアクセス可能だったことを確かめている。

ActorトークンとCVE-2025-55241の悪用でGlobal Administratorへのなりすましも可能に

Mollemaによれば、ActorトークンとCVE-2025-55241を悪用した攻撃は、Global Administrator（グローバル管理者）へのなりすましも可能にするという。これにより、多様なロールのユーザーの管理・作成に加え、設定の変更やパスワードのリセット、adminの追加など、Global Administratorというロールに紐づくあらゆるアクションを実行できるようになるとされる。この攻撃はまず攻撃者自身の制御下にあるテナントでActorトークンを生成するところから始まり、大まかに以下のような流れで行われることになるという。

①ターゲット環境のテナントIDを見つけ出す。これは、ドメイン名に基づく公開APIで取得可能。
②ターゲットテナント内の一般ユーザーの有効なnetIdを見つけ出す。
③攻撃者自身のテナントで生成したActorトークンを細工し、①および②の情報を使ってなりすまし用トークンを作り出す。
④ターゲットテナント内のGlobal AdminとそれぞれのnetIdをすべてリスティングする。
⑤Global Admin用のなりすましトークンを作り出す。
⑥Azure AD Graph APIを通じて任意のread/write操作を実行する。

Mollema氏によれば、Global Admin権限を取得するまでのステップはいずれも被害者テナント内でログを残さず、ログが残るのは⑥で実施されるアクティビティのみだという。

なおこの問題は2025年7月14日にマイクロソフトへ報告され、7月23日には修正されたことが確認済み。その後9月4日には、CVE-2025-55241（CVSS 3.1スコア10.0、Critical評価）というCVE識別子が発行された。Actorトークンや同脆弱性、その悪用方法のさらなる詳細については、Mollema氏のブログ記事「One Token to rule them all – obtaining Global Admin in every Entra ID tenant via Actor tokens」で確認できる。