🇰🇷 한글 설명
Microsoft Entra ID Entitlement Management에 서버 측 요청 위조(SSRF) 취약점이 존재합니다. 인증되지 않은 공격자가 네트워크를 통해 이 취약점을 악용하여 스푸핑 공격을 수행할 수 있습니다. CVSS 점수 10.0으로 최고 심각도에 해당합니다.
💡 쉬운 설명
Microsoft의 클라우드 권한 관리 서비스에 결함이 있어, 로그인하지 않은 외부인이 서버가 대신 요청을 보내도록 조작할 수 있습니다. 이를 통해 다른 사용자인 척하거나 내부 시스템에 접근할 위험이 있습니다.
🇺🇸 원문 (English)
Server-side request forgery (ssrf) in Microsoft Entra ID Entitlement Management allows an unauthorized attacker to perform spoofing over a network.
📍 영향받는 시스템
Microsoft Entra ID Entitlement Management (클라우드 서비스, 영향받는 정확한 버전은 Microsoft 보안 권고 확인 필요)
⚔️ 공격 벡터
네트워크를 통해 인증 없이 조작된 요청을 전송하여 서버가 내부 또는 외부 자원에 임의 요청을 보내도록 유도
🛡️ 대응 방법
Microsoft 보안 권고에 따라 최신 패치 또는 서비스 측 수정 사항을 즉시 적용하고, Entra ID 관리 포털에서 권한 관리 설정을 점검
🔧 검증 코드
Azure CLI로 테넌트 연결을 확인한 뒤, Microsoft Security Update Guide에서 해당 CVE의 패치 적용 여부 및 서비스 상태를 직접 확인해야 합니다. 이 서비스는 클라우드형이므로 로컬 버전 명령으로는 취약 여부를 판단할 수 없습니다.
az account show --query id -o tsv 2>/dev/null && echo 'Check Microsoft Security Update Guide for CVE-2026-35431 status'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
💻 영향받는 소프트웨어
Multi-Domain Security Management Server