Azure : cinq compromissions inter-tenants via API Connections
Original : Azure's Weakest Link – Five Full Cross-Tenant Compromises
Pourquoi c'est important
Des failles structurelles dans un service cloud partagé exposent tous les tenants Azure Logic Apps.
Un chercheur norvégien a découvert cinq vulnérabilités dans Azure Logic Apps API Connections permettant la compromission complète de tenants tiers. Les failles ont rapporté 200 000 $ en bug bounty et ont été présentées au Blue Hat Asia 2026.
Haakon Wik Gulbrandsrud, de Binary Security AS, publie le troisième volet de sa série sur les failles architecturales d'Azure API Connections. Résultat : cinq nouvelles vulnérabilités, toutes permettant une compromission totale inter-tenants, pour un total de 200 000 $ versés par Microsoft via son programme bug bounty.
Le problème de fond est structurel. Les API Connections dans Azure Logic Apps reposent sur une instance partagée d'Azure API Management (APIM). Quand un Logic App exécute une action, APIM échange le token entrant contre le token configuré pour le service backend — Key Vault, Azure SQL, Jira, Salesforce, etc. Si un attaquant parvient à rediriger cet échange vers la connexion d'une autre organisation, il obtient un accès complet à son service backend, sans aucune élévation de privilège supplémentaire.
L'attaquant exploite les endpoints ARM REST API (`DynamicInvoke` ou `/extensions/proxy/`) pour interroger directement APIM via Azure Resource Manager, qui dispose par nature d'un accès quasi-universel. La seule défense en place est la validation des entrées — et selon le chercheur, « il est vraiment difficile de couvrir tous les cas limites ».
Le chercheur souligne également que les tokens OAuth associés à ces connexions correspondent généralement aux droits complets de l'utilisateur ayant initialement configuré la connexion, sans restriction de périmètre. Les détails techniques complets des cinq variantes sont documentés dans l'article, accompagnés d'une version mise à jour du diagramme d'architecture officiel de Microsoft.