Azure APIM क्रॉस-टेनेंट साइनअप बाईपास

स्थिति (01.12.2025): यह भेद्यता अभी भी सक्रिय और शोषण योग्य है। Microsoft ने इस समस्या को पैच नहीं किया है और इसे "by design" (डिज़ाइन द्वारा) मानता है।

सुरक्षा सलाह

GHSA-vcwf-73jp-r7mv

CVE-2025-66390

सारांश

Azure API Management (APIM) डेवलपर पोर्टल में एक सुरक्षा भेद्यता हमलावरों को किसी भी APIM इंस्टेंस पर खाता पंजीकृत करने की अनुमति देती है, जिसमें बेसिक प्रमाणीकरण (Basic Authentication) सक्षम है, भले ही प्रशासकों ने पोर्टल UI में उपयोगकर्ता साइनअप अक्षम कर दिया हो।

यह बाईपास क्रॉस-टेनेंट खाता निर्माण सक्षम करता है, जो संभावित रूप से API दस्तावेज़ीकरण, सदस्यता कुंजियों (subscription keys) और डेवलपर पोर्टल के माध्यम से उजागर अन्य संसाधनों तक अनधिकृत पहुँच की अनुमति देता है।

प्रकटीकरण समयरेखा

तिथि	कार्रवाई
2025-09-30	भेद्यता की खोज हुई
2025-09-30	MSRC को प्रारंभिक रिपोर्ट प्रस्तुत की गई
2025-10-30	MSRC प्रतिक्रिया: "भेद्यता नहीं" के रूप में बंद
2025-11-01	अतिरिक्त विवरण के साथ MSRC को दूसरी रिपोर्ट प्रस्तुत की गई
2025-11-20	MSRC प्रतिक्रिया: "डिज़ाइन द्वारा" के रूप में बंद
2025-11-20	CERT-FI को रिपोर्ट किया गया
2025-11-26	सार्वजनिक प्रकटीकरण
2025-11-27	MITRE से CVE अनुरोध किया गया
2026-07-09	CVE-2025-66390 MITRE TL-Root/CNA-LR द्वारा निर्धारित

भेद्यता विवरण

समस्या

जब Azure APIM डेवलपर पोर्टल के लिए बेसिक प्रमाणीकरण के साथ कॉन्फ़िगर किया जाता है, तो प्रशासक Azure पोर्टल UI के माध्यम से उपयोगकर्ता पंजीकरण अक्षम कर सकते हैं। हालाँकि, यह केवल पोर्टल इंटरफ़ेस में साइनअप फ़ॉर्म को छुपाता है।

अंतर्निहित साइनअप API एंडपॉइंट सक्रिय रहता है और सीधे पंजीकरण अनुरोध स्वीकार करता है, जिससे UI प्रतिबंध पूरी तरह से बाईपास हो जाता है।

मूल कारण

दो समस्याएँ मिलकर यह भेद्यता उत्पन्न करती हैं:

1. केवल UI प्रतिबंध: साइनअप अक्षम करना केवल पोर्टल UI में फ़ॉर्म छुपाता है। बैकएंड साइनअप API सक्रिय और सुलभ रहता है।
2. कोई टेनेंट सत्यापन नहीं: साइनअप API यह सत्यापित नहीं करता है कि अनुरोध उसी टेनेंट के पोर्टल से आया है। किसी भी स्रोत से किसी भी भेद्य इंस्टेंस पर पंजीकरण करने के लिए अनुरोध तैयार किए जा सकते हैं।

हमला वेक्टर

हमले के लिए दो APIM इंस्टेंस की आवश्यकता होती है:

1. हमलावर का इंस्टेंस: साइनअप सक्षम वाला कोई भी APIM डेवलपर पोर्टल (या हमलावर का अपना APIM इंस्टेंस)
2. लक्ष्य इंस्टेंस: पीड़ित का APIM डेवलपर पोर्टल जिसमें UI में साइनअप "अक्षम" है लेकिन बेसिक प्रमाणीकरण अभी भी कॉन्फ़िगर है

चरण:

1. हमलावर अपने स्वयं के APIM डेवलपर पोर्टल साइनअप पृष्ठ तक पहुँचता है (जहाँ साइनअप सक्षम है)
2. हमलावर साइनअप फ़ॉर्म भरता है और अनुरोध को इंटरसेप्ट करता है (जैसे, Burp Suite का उपयोग करके)
3. हमलावर Host हेडर को अपने इंस्टेंस से बदलकर लक्ष्य इंस्टेंस कर देता है
4. हमलावर संशोधित अनुरोध सबमिट करता है
5. लक्ष्य इंस्टेंस पर खाता बन जाता है, भले ही उनके एडमिन कंसोल में साइनअप "अक्षम" हो
6. हमलावर को पंजीकृत उपयोगकर्ता के रूप में लक्ष्य डेवलपर पोर्टल तक पहुँच मिलती है

मुख्य तकनीकी विवरण: क्रॉस-टेनेंट बाईपास साइनअप POST अनुरोध में Host हेडर में हेरफेर करके काम करता है। /signup एंडपॉइंट टेनेंट सीमाओं को सत्यापित किए बिना Host हेडर के आधार पर अनुरोधों को संसाधित करता है।

अनुरोध हेरफेर का उदाहरण:

POST /signup HTTP/1.1
Host: target-apim.developer.azure-api.net   <-- Changed from attacker's instance
Origin: https://attacker-apim.developer.azure-api.net
Content-Type: application/json

{"challenge":{...},"signupData":{"email":"[email protected]",...}}

मूल समस्या: UI में साइनअप अक्षम करने से अंतर्निहित API अक्षम नहीं होता है। API एंडपॉइंट Host हेडर के आधार पर क्रॉस-टेनेंट अनुरोध स्वीकार करता है।

प्रभाव

• क्रॉस-टेनेंट खाता निर्माण - बेसिक प्रमाणीकरण सक्षम किसी भी APIM इंस्टेंस पर पंजीकरण
• प्रशासनिक नियंत्रणों का बाईपास - साइनअप प्रतिबंध अप्रभावी हैं
• API दस्तावेज़ीकरण तक पहुँच जिसमें संवेदनशील आंतरिक जानकारी हो सकती है
• API सदस्यता कुंजियों का अनुरोध करने की संभावना पोर्टल कॉन्फ़िगरेशन पर निर्भर करती है
• आंतरिक पोर्टल एक्सपोज़र - बाहरी हमलावर "आंतरिक" पोर्टल पर पंजीकरण कर सकते हैं

प्रभावित कॉन्फ़िगरेशन

आपका APIM इंस्टेंस भेद्य है यदि:

• बेसिक प्रमाणीकरण पहचान प्रदाता कॉन्फ़िगर किया गया है (भले ही UI में साइनअप "अक्षम" हो)
• डेवलपर पोर्टल तैनात और सुलभ है

आपका APIM इंस्टेंस भेद्य नहीं है यदि:

• बेसिक प्रमाणीकरण पहचान प्रदाता पूरी तरह से हटा दिया गया है (सिर्फ साइनअप अक्षम नहीं)
• केवल Azure AD / OAuth प्रमाणीकरण कॉन्फ़िगर किया गया है
• डेवलपर पोर्टल तैनात नहीं है या अक्षम है

मुख्य बिंदु: Azure पोर्टल UI में साइनअप अक्षम करना पर्याप्त नहीं है। क्रॉस-टेनेंट साइनअप बाईपास को रोकने के लिए बेसिक प्रमाणीकरण पहचान प्रदाता को पूरी तरह से हटाया जाना चाहिए।

Azure संसाधन गुण

Azure Resource Graph, ARM टेम्पलेट या Azure Policy के माध्यम से भेद्य APIM इंस्टेंस की पहचान करने के लिए इन गुण मानों का उपयोग करें।

भेद्य कॉन्फ़िगरेशन गुण

गुण पथ	भेद्य मान	विवरण
properties.developerPortalStatus	Enabled	डेवलपर पोर्टल सुलभ है
sku.name	Developer, Basic, Standard, Premium	गैर-Consumption टियर (Consumption टियर में सीमित पोर्टल सुविधाएँ हैं)

पहचान प्रदाता जाँच (उप-संसाधन)

बेसिक प्रमाणीकरण पहचान प्रदाता APIM इंस्टेंस के अंतर्गत एक अलग संसाधन है:

Resource Type: Microsoft.ApiManagement/service/identityProviders
Name: basic

यदि मौजूद है तो भेद्य: basic पहचान प्रदाता संसाधन की उपस्थिति इंगित करती है कि बेसिक प्रमाणीकरण कॉन्फ़िगर किया गया है।

पोर्टल साइनअप सेटिंग्स (उप-संसाधन)

Resource Type: Microsoft.ApiManagement/service/portalsettings/signup
Property: properties.enabled

गुण	मान	अर्थ
properties.enabled	true	साइनअप UI में दृश्यमान है
properties.enabled	false	साइनअप UI में छिपा हुआ है (यदि बेसिक प्रमाणीकरण मौजूद है तो API फिर भी काम करता है!)

Azure संसाधन ग्राफ़ क्वेरी

संभावित रूप से भेद्य APIM इंस्टेंस खोजने के लिए इस क्वेरी का उपयोग करें:

resources
| where type == "microsoft.apimanagement/service"
| where properties.developerPortalStatus == "Enabled"
| where sku.name != "Consumption"
| project name, resourceGroup, subscriptionId, location, sku.name, properties.developerPortalStatus

बेसिक प्रमाणीकरण पहचान प्रदाताओं की जाँच करने के लिए:

resources
| where type == "microsoft.apimanagement/service/identityproviders"
| where name endswith "/basic"
| project apimInstance=tostring(split(id, "/providers/Microsoft.ApiManagement/service/")[1]), resourceGroup, subscriptionId

Azure CLI कमांड

डेवलपर पोर्टल स्थिति जाँचें:

az apim show --name <apim-name> --resource-group <rg-name> --query "{name:name, portalStatus:developerPortalStatus, sku:sku.name}"

पहचान प्रदाताओं की सूची बनाएँ ('basic' की जाँच करें):

az apim identity-provider list --resource-group <rg-name> --service-name <apim-name> --query "[].name"

साइनअप सेटिंग्स जाँचें:

az rest --method get --url "https://management.azure.com/subscriptions/<sub-id>/resourceGroups/<rg-name>/providers/Microsoft.ApiManagement/service/<apim-name>/portalsettings/signup?api-version=2022-08-01" --query "properties.enabled"

सारांश तालिका

स्थिति	गुण/संसाधन	भेद्य मान
पोर्टल सक्षम	properties.developerPortalStatus	== 'Enabled'
गैर-Consumption SKU	sku.name	!= 'Consumption'
बेसिक प्रमाणीकरण मौजूद	identityProviders/basic संसाधन	संसाधन मौजूद है
साइनअप छिपा हुआ (बाईपास संभव)	portalsettings/signup.properties.enabled	== false (बेसिक प्रमाणीकरण के साथ)