Quand un simple jeton suffisait à ébranler la confiance dans le cloud
Tout semblait maîtrisé dans les environnements Microsoft. MFA activé, règles d’accès conditionnel appliquées, journaux sans anomalies. Et pourtant, dans l’ombre, une faille invisible dans Entra ID ouvrait la possibilité de devenir Global Admin dans n’importe quel tenant. Pas de phishing, pas de mot de passe volé. Juste un jeton spécial, mal validé par une API vieillissante, qui suffisait à donner les pleins pouvoirs. Cette vulnérabilité, aujourd’hui corrigée et référencée sous CVE-2025-55241, illustre combien l’édifice de confiance des systèmes IAM cloud peut reposer sur une simple erreur de conception.
Le cœur du problème : les Actor tokens
Les Actor tokens sont des mécanismes internes de Microsoft, conçus pour permettre à des services de déléguer des actions en toute transparence. Normalement invisibles pour les utilisateurs, ils fonctionnent comme des passe-partout dans l’infrastructure.
Le chercheur Dirk-jan Mollema a découvert que l’Azure AD Graph API, en fin de vie mais encore utilisée, ne validait pas correctement la provenance des Actor tokens. Résultat : un attaquant pouvait générer un token dans son propre tenant de test, puis l’utiliser pour se faire passer pour un administrateur global dans un tenant complètement différent.
Cette faille combinait deux erreurs : l’existence d’un mécanisme interne trop puissant et l’absence de contrôle dans une API critique.
Pourquoi cette vulnérabilité est unique
L’exploitation ne déclenchait aucun signal habituel. Pas de journalisation, pas de demande MFA, pas de règle d’accès conditionnel. Même une organisation dotée des meilleures pratiques IAM n’aurait rien vu venir.
Pour comprendre l’ampleur du risque, il suffit d’imaginer : un jeton généré dans un tenant de test pouvait suffire à prendre le contrôle d’Exchange Online, de SharePoint, ou encore de ressources Azure sensibles dans une autre organisation. Sans traces directes, seuls des indices indirects (changement de rôles, nouveaux comptes, accès inhabituels) auraient pu alerter les défenseurs.
Une vulnérabilité révélatrice des failles IAM cloud
CVE-2025-55241 est plus qu’une simple CVE. C’est un signal d’alarme sur les mécanismes cachés de confiance dans le cloud.
Comme le rappelle Mitiga, Microsoft n’est pas le seul concerné. Tous les grands fournisseurs – Google, AWS, Okta, Salesforce – utilisent des mécanismes internes de délégation de service à service. Ils sont rarement documentés et rarement audités, mais deviennent des armes parfaites lorsqu’un défaut de validation se glisse dans la chaîne.
Quels enseignements pour les organisations ?
La faille a été corrigée rapidement par Microsoft dès juillet 2025, et aucune exploitation n’a été confirmée à ce jour. Mais l’absence de visibilité historique empêche de savoir si elle a été utilisée auparavant.
Pour les professionnels de la cybersécurité, la leçon est claire : ne pas se reposer uniquement sur les mécanismes natifs de l’IAM cloud. La défense doit s’appuyer sur la détection d’anomalies post-exploitation. Cela implique de chasser les activités suspectes plutôt que d’attendre un signal inexistant. Les SOC doivent apprendre à corréler les indices faibles : créations de comptes inattendues, rôles administratifs attribués sans justification, intégrations SaaS inhabituelles, ou déploiements soudains de nouveaux services.
L'IAM au cœur du Cloud de confiance
La vulnérabilité CVE-2025-55241 restera comme l’un des plus gros avertissements pour la sécurité des identités dans le cloud. Non pas parce qu’elle a été exploitée, mais parce qu’elle révèle une faiblesse structurelle : la dépendance totale à des mécanismes invisibles de délégation.
Pour les RSSI et responsables IAM, l’enjeu est désormais d’anticiper. La question n’est pas si un nouveau défaut de ce type sera découvert, mais quand. La réponse doit être une gouvernance IAM robuste, une visibilité accrue et une capacité de détection au-delà des journaux classiques.
Source : Mitiga - Breaking Down the Microsoft Entra ID Actor Token Vulnerability: The Perfect Crime in the Cloud
Partager :
Gestion de la surface d'attaque externe
Anticipez les attaques. Découvrez ce que les cybercriminels savent déjà sur vous.
des violations de données réussies débutent sur des actifs exposés sur Internet.
