CVE-2026-83711: Kritisk fejl i Azure AD B2C
Kritisk fejl i Azure AD B2C (CVE-2026-83711) lader angribere omgå adgangskontrol uden login. Tjek tenant og logs.
Hvad er det?
CVE-2026-83711 er en sårbarhed i Microsoft Azure Active Directory B2C, en cloud-tjeneste virksomheder bruger til at styre login og identitet for eksterne brugere, for eksempel kunder på en webshop eller borgere i et selvbetjeningsportal. Fejlen er en autorisationsomgåelse gennem en brugerstyret nøgle (CWE-639): systemet stoler på en identifikator, som brugerens egen forespørgsel indeholder, i stedet for selv at kontrollere rettighederne på serversiden. En angriber kan ændre denne identifikator og derved få adgang til andre brugeres konti eller data, uden selv at være logget ind eller have gyldige rettigheder.
Hvem rammer det?
Sårbarheden rammer virksomheder og kommuner, der bruger Azure AD B2C til at give kunder, borgere eller samarbejdspartnere adgang til egne webapplikationer, apps eller selvbetjeningsløsninger. Det gælder typisk webshops, kundeportaler og digitale ansøgningssystemer bygget på en B2C-tenant. Da Azure AD B2C er en fælles cloud-tjeneste, som Microsoft drifter centralt, er der ikke tale om en bestemt softwareversion, I selv skal opdatere lokalt.
Hvad kan ske?
En angriber, der kender eller gætter den rette identifikator, kan læse og ændre andre brugeres data i jeres B2C-tenant uden gyldigt login. I praksis betyder det risiko for adgang til kunders eller borgeres personoplysninger, kontooplysninger eller mulighed for at overtage andre brugeres konti. Fordi sårbarheden ikke påvirker tilgængelighed, vil et angreb typisk ikke lukke jeres systemer ned, men kan medføre et databrud, som skal vurderes efter databeskyttelsesreglerne.
Hvor alvorligt er det?
CVSS-scoren er 10 ud af 10, den højest mulige. Angrebet kræver hverken login eller handling fra en bruger, og det kan udføres over internettet med lav teknisk kompleksitet. Konsekvensen er høj risiko for fortrolighed og integritet af data, mens tilgængeligheden ikke påvirkes. Der er ved offentliggørelsen ikke oplysninger om aktiv udnyttelse i skarpe angreb, men sårbarhedens lette udnyttelighed gør den attraktiv for angribere.
Hvad gør jeg nu?
Da Azure AD B2C er en cloud-tjeneste, retter Microsoft selve fejlen centralt. Jeres opgave er at bekræfte konfigurationen og undersøge for misbrug.
- Bekræft hos Microsoft eller i jeres tenant-status, at rettelsen til Azure AD B2C er anvendt på jeres tenant.
- Gennemgå login- og adgangslogs for jeres B2C-tenant for usædvanlige mønstre, for eksempel gentagne forsøg med ændrede id-parametre.
- Roter nøgler og hemmeligheder, der bruges i jeres B2C-flows, hvis der er tvivl om, om de har været eksponeret.
- Aktiver multifaktorgodkendelse og betingede adgangspolitikker som ekstra lag for eksterne brugere.
- Informer jeres databeskyttelsesansvarlige, hvis logs viser tegn på uretmæssig adgang, med henblik på vurdering af anmeldelsespligt.
- Få hjælp udefra, hvis I ikke selv har kompetencerne til at analysere B2C-logs eller vurdere omfanget af et muligt misbrug.
Gennemgå logs inden for få dage
Vi anbefaler, at I hurtigst muligt bekræfter, at jeres Azure AD B2C-tenant kører den rettede version, og at I gennemgår logs for tegn på misbrug. Det er i orden at vente med en dybere loggennemgang til en almindelig arbejdsdag, men det bør ikke skubbes mere end nogle dage, givet den høje CVSS-score. Har I ikke selv kompetencerne til at analysere B2C-logs eller vurdere risikoen for jeres kunder, anbefaler vi at få hjælp udefra.
Tidslinje
Konkrete eksempler
Kommunal borgerportal med Azure AD B2C-login
En kommunes borgerportal bruger Azure AD B2C til borgerlogin. En udenforstående opdager, at en id-parameter i login-flowet kan ændres, og får derved adgang til at se andre borgeres kontaktoplysninger uden selv at logge ind. Kommunen må gennemgå logs, vurdere omfanget og afklare, om der skal ske anmeldelse af databrud til Datatilsynet.
Ofte stillede spørgsmål
Er vi ramt af CVE-2026-83711?
I er ramt, hvis jeres virksomhed eller kommune bruger Azure AD B2C til at styre login for eksterne brugere, for eksempel kunder på en webshop eller borgere på et selvbetjeningsportal. Bruger I ikke B2C til dette, er I ikke direkte berørt.
Skal vi selv installere en opdatering?
Nej. Azure AD B2C er en cloud-tjeneste, og Microsoft retter fejlen centralt for alle tenants. I skal ikke installere en lokal opdatering, men bør bekræfte tenant-konfigurationen og gennemgå logs.
Kan vi vente til efter weekenden med at reagere?
Selve rettelsen er allerede lukket centralt af Microsoft, så der er ikke en opdatering, I selv skal installere akut. Vi anbefaler dog, at I inden for få dage gennemgår logs for at udelukke, at jeres tenant har været misbrugt før rettelsen.
Hvordan tjekker vi, om vores tenant er blevet misbrugt?
Gennemgå login- og API-logs i Azure AD B2C for usædvanlige mønstre, for eksempel forespørgsler hvor en identifikator eller nøgleparameter afviger fra den forventede brugers egen konto.
Skal vi anmelde noget til Datatilsynet?
Hvis jeres loggennemgang viser tegn på, at personoplysninger er blevet tilgået uretmæssigt, skal I vurdere og som udgangspunkt anmelde det som databrud inden for 72 timer efter, I bliver bekendt med det.
Hvad betyder autorisationsomgåelse gennem brugerstyret nøgle?
Det er fejltypen CWE-639, hvor et system stoler på en identifikator eller nøgle, som brugeren selv sender i en forespørgsel, uden selv at tjekke, om brugeren faktisk har ret til den pågældende ressource.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Authorization bypass through user-controlled key in Microsoft Azure Active Directory B2C allows an unauthorized attacker to elevate privileges over a network.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.