🇰🇷 한글 설명
Azure AD 애플리케이션 또는 서비스 주체의 인증서 키 자격 증명(keyCredential)에 보호되지 않은 개인 키 데이터를 업로드할 때 발생하는 정보 노출 취약점입니다. 테넌트 내에서 애플리케이션 읽기 권한을 가진 사용자나 서비스는 해당 애플리케이션에 추가된 개인 키 데이터를 읽을 수 있습니다.
💡 쉬운 설명
Azure AD 설정에 실수로 비밀번호와 같은 중요한 개인 키를 올리면, 권한이 있는 다른 사람이 이를 훔쳐볼 수 있는 문제입니다. 마이크로소프트는 이 키가 노출되지 않도록 보안 조치를 완료했습니다.
🇺🇸 원문 (English)
An information disclosure vulnerability manifests when a user or an application uploads unprotected private key data as part of an authentication certificate keyCredential on an Azure AD Application or Service Principal (which is not recommended). This vulnerability allows a user or service in the tenant with application read access to read the private key data that was added to the application.
Azure AD addressed this vulnerability by preventing disclosure of any private key values added to the application.
Microsoft has identified services that could manifest this vulnerability, and steps that customers should take to be protected. Refer to the FAQ section for more information.
For more details on this issue, please refer to the MSRC Blog Entry.
📍 영향받는 시스템
Azure AD Application 및 Service Principal (특정 설정 사용 시)
⚔️ 공격 벡터
애플리케이션 읽기 권한을 가진 사용자가 인증서 키 자격 증명에 포함된 개인 키 데이터를 조회함
🛡️ 대응 방법
Microsoft의 보안 패치 적용 확인 및 애플리케이션 자격 증명에 개인 키를 직접 업로드하지 않도록 구성 변경
🔧 검증 코드
명령어 결과에서 keyCredentials 항목 내에 민감한 개인 키 값이 평문으로 노출되는지 확인
az ad app list --query '[].{displayName:displayName, keyCredentials:keyCredentials}'