Ricevi DeafLetter
Una selezione settimanale di segnali, vulnerabilità e guide. Gli avvisi critici restano facoltativi.
Puoi cancellarti in ogni momento. Privacy policy.
L'advisory ZDI-26-629, pubblicato dalla TrendAI Zero Day Initiative il 9 settembre 2026 con disclosure coordinata, documenta una vulnerabilità nell'endpoint OAuth Device Code Grant di Microsoft Azure Entra ID. Un attaccante remoto e non autenticato può ottenere informazioni organizzative interne su tenant arbitrari semplicemente interagendo con i messaggi di errore generati dalla piattaforma. Il caso rivela un vettore di ricognizione passiva nella cloud identity che resta esposto fino alla pubblicazione ufficiale.
- L'endpoint OAuth Device Code Grant di Azure Entra ID genera messaggi di errore contenenti informazioni sensibili su organizzazioni target
- L'autenticazione non è richiesta: chiunque può interagire con l'endpoint per raccogliere intelligence su tenant arbitrari
- La vulnerabilità è stata segnalata a Microsoft il 31 marzo 2026; la disclosure pubblica coordinata è avvenuta il 9 settembre 2026
- Non risulta assegnato un CVE né pubblicato un punteggio CVSS nell'advisory ZDI al momento della release
Il meccanismo: quando un errore OAuth diventa vettore di intelligence
L'endpoint in questione implementa l'OAuth 2.0 Device Authorization Grant, standard RFC 8628 progettato per dispositivi con input limitato come smart TV, stampanti o strumenti IoT. Il flusso prevede che il device richieda un code, l'utente lo inserisca su un secondo device, e l'originario ottenga token di accesso dopo polling.
Secondo l'advisory ZDI-26-629, la specifica falla risiede nella generazione di messaggi di errore che includono dati sensibili. Questi dettagli, normalmente nascosti a utenti non autorizzati, escono in chiaro quando l'endpoint riceve input malevoli o semplicemente malformati. La condizione critica è che l'attaccante non necessita di credenziali valide né di app registrate sul tenant target.
"An attacker can leverage this vulnerability to disclose internal organizational information associated with arbitrary Entra ID tenants." — Advisory ZDI-26-629
L'assenza di autenticazione trasforma il vettore da problema di information disclosure in strumento di ricognizione massiva. Un operatore può ciclare tenant ID o domini noti, raccogliere risposte di erroro e ricostruire informazioni sull'infrastruttura cloud identity dell'obiettivo.
Timeline e stato della disclosure: cinque mesi tra report e pubblicazione
La vulnerabilità è stata riportata a Microsoft il 31 marzo 2026 da Nelson William Gamazo Sanchez, ricercatore di TrendAI Research. Il periodo di coordinazione tra report e disclosure pubblica ha coperto oltre cinque mesi, con rilascio dell'advisory ZDI fissato per il 9 settembre 2026. Questa finestra riflette prassi standard di gestione responsabile delle vulnerabilità, ma lascia un intervallo in cui i dettagli tecnici restano circoscritti al vendor e al ricercatore.
L'advisory non specifica se Microsoft abbia rilasciato patch nel corso del coordinamento. Il link vendor indicato da ZDI rimanda alla stessa pagina advisory, suggerendo che il fix ufficiale o il bollettino Microsoft non fossero ancora pubblicati al momento della release coordinata.
Informazioni esposte: ciò che sappiamo e ciò che manca
ZDI-26-629 classifica l'impatto come information disclosure di "informazioni organizzative interne". Tuttavia, l'advisory non dettaglia la natura esatta di questi dati. Resta non specificato se i messaggi di errore rivelino nomi tenant, identificatori directory, configurazioni di policy, presenza di utenti o altri metadati infrastrutturali.
Questa lacuna ha conseguenze operative concrete. Senza conoscere il contenuto esatto delle informazioni divulgate, i difensori non possono calibrare la gravità del rischio né identificare quali asset di intelligence organizzativa siano potenzialmente già esposti. Il dossier non fornisce esempi di payload o richieste HTTP che triggerino la condizione vulnerabile, limitando la capacità di riproduzione controllata.
Non risulta inoltre documentato alcun CVE assegnato né punteggio CVSS nell'advisory. Questa assenza, non insolita in fase di pre-disclosure, impedisce il tracciamento formale attraverso database nazionali e complica la prioritizzazione automatica nei sistemi di vulnerability management.
Cosa fare adesso
- Verificare nei log di Azure Entra ID accessi anomali all'endpoint Device Code Grant da indirizzi IP non associati a dispositivi autorizzati
- Contattare i team di sicurezza Microsoft per richiedere informazioni sullo stato della patch e dettagli sulle informazioni effettivamente esposte
- Monitorare l'assegnazione di CVE e pubblicazione di bollettino ufficiale Microsoft per tracciabilità del problema
- Rivedere la visibilità di metadati organizzativi nelle configurazioni Entra ID, riducendo dove possibile informazioni esposte in risposte di sistema
Lettura: la cloud identity come superficie di ricognizione passiva
Questa advisory esemplifica un pattern emergente nella threat surface cloud: gli endpoint di autenticazione standardizzati, progettati per interoperabilità e usabilità, diventano fonti di intelligence passiva quando le loro risposte di errore non sono sufficientemente depurate. L'OAuth Device Code Grant è particolarmente esposto perché il suo design prevede interazione iniziale senza autenticazione utente.
Il caso ZDI-26-629 si colloca in un contesto più ampio di ricognizione cloud identity: precedenti ricerche hanno dimostrato come tenant enumeration, user enumeration e metadata harvesting su piattaforme SaaS identity forniscano basi per spear-phishing e attacchi aziendali mirati. La novità qui è l'assenza di qualsiasi prerequisito di autenticazione, che abbassa drasticamente la soglia di accesso al vettore.
Per Microsoft, la gestione di questa disclosure interseca tensioni tra trasparenza coordinata e protezione della base installata. Per le organizzazioni tenant, il rischio non è la compromissione immediata ma la ricognizione sistematica che prepara attacchi successivi: conoscere la struttura di un Entra ID prima di ottenere credenziali è vantaggio tattico misurabile.
FAQ
È necessario un account Azure per sfruttare questa vulnerabilità?
No. L'advisory ZDI-26-629 documenta esplicitamente che l'autenticazione non è richiesta per sfruttare la falla.
È disponibile un CVE o un punteggio CVSS?
Nell'advisory ZDI-26-629 non risulta assegnato alcun CVE né pubblicato punteggio CVSS al momento della release coordinata del 9 settembre 2026.
Quali informazioni esattamente vengono divulgate?
L'advisory indica genericamente "informazioni organizzative interne" ma non specifica la natura esatta dei dati esposti nei messaggi di errore.
Fonti
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.
Fonti
Ricevi DeafLetter
Una selezione settimanale di segnali, vulnerabilità e guide. Gli avvisi critici restano facoltativi.
Puoi cancellarti in ogni momento. Privacy policy.