CVE-2026-57100: Kritisk SSRF-fejl i Microsoft Entra

CVE-2026-57100 er en sårbarhed af typen SSRF (Server-Side Request Forgery) i Microsoft Entra Provisioning Service, som internt kaldes SyncFabric. SSRF betyder, at en angriber kan få en server til at sende forespørgsler til systemer, angriberen ellers ikke har direkte adgang til, for eksempel interne styringsflader i Microsofts sky. Provisioning Service er den del af Entra ID, der automatisk opretter og opdaterer brugere og grupper mellem systemer, for eksempel fra et HR-system eller mellem flere Entra-tenants. Fejlen gør, at en bruger med begrænsede rettigheder kan udnytte tjenesten til at eskalere sig selv til langt højere rettigheder, uden at det kræver brugerinteraktion fra andre.

Sårbarheden findes i selve Microsofts skytjeneste og rammer alle organisationer, der bruger Microsoft Entra ID (tidligere Azure AD) med provisionering, herunder automatisk brugeroprettelse fra HR-systemer, app-provisionering eller cross-tenant synkronisering. Der er ikke tale om en lokal serverkomponent, I selv installerer og opdaterer, så der findes ingen version at slå op for jeres egen infrastruktur. Danske virksomheder og kommuner, der bruger Entra ID til identitetsstyring, er potentielt eksponeret, uanset størrelse.

En medarbejder eller ekstern part med et almindeligt, lavt privilegeret login kan i teorien udnytte fejlen til at opnå administratorrettigheder i jeres Entra-tenant. Det svarer til, at en person med adgang til en almindelig brugerkonto pludselig kan læse, ændre og slette data i hele identitetsstyringen, oprette nye administratorer eller slå sikkerhedsindstillinger fra. For en dansk virksomhed betyder det risiko for fuld kompromittering af den centrale identitetsplatform, som styrer adgang til mail, filer og forretningssystemer.

CVSS-score er 9,9 ud af 10, hvilket er kritisk. Angrebet kræver kun et lavt privilegeret login (PR:L), ingen brugerinteraktion fra andre (UI:N), og kan udføres over netværket (AV:N) med lav kompleksitet (AC:L). Fordi angrebet kan påvirke ressourcer uden for den sårbare komponents eget sikkerhedsdomæne (Scope: Changed), rammer konsekvensen fuldt ud fortrolighed, integritet og tilgængelighed. Der er ikke oplyst tegn på, at sårbarheden er udnyttet i praksis på offentliggørelsesdatoen, men den tekniske barriere for udnyttelse er lav.

Fordi sårbarheden ligger i Microsofts skytjeneste, kan I ikke selv installere en opdatering. Microsoft retter fejlen centralt i tjenesten, men I bør stadig handle på jeres egen side.

1. Bekræft, at jeres organisation ikke har brug for at gøre andet teknisk for selve rettelsen, da Microsoft opdaterer Provisioning Service på serversiden.
2. Gennemgå adgangslogge og revisionslogge (audit logs) i Entra ID for usædvanlig aktivitet omkring provisionering og rolletildelinger i perioden op til og efter offentliggørelsen.
3. Gennemgå, hvem der i dag har lavt privilegerede roller med adgang til provisioneringsopsætning, og fjern unødvendige rettigheder.
4. Aktivér eller skærp betinget adgang (conditional access) og krav om flerfaktorgodkendelse for konti med adgang til Entra-administration.
5. Sæt overvågning op, så fremtidige uregelmæssigheder i rolletildelinger opdages hurtigt.
6. Kontakt Auroa eller anden sikkerhedsrådgiver, hvis I ikke selv har overblik over logge og rettigheder i jeres Entra-tenant.