Azure APIM क्रॉस-टेनेंट साइनअप बाईपास

स्थिति (01.12.2025): यह भेद्यता अभी भी सक्रिय और शोषण योग्य है। Microsoft ने इस समस्या को पैच नहीं किया है और इसे "by design" (डिज़ाइन द्वारा) मानता है।

सुरक्षा सलाह

GHSA-vcwf-73jp-r7mv

CVE-2025-66390

सारांश

Azure API Management (APIM) डेवलपर पोर्टल में एक सुरक्षा भेद्यता हमलावरों को किसी भी APIM इंस्टेंस पर खाता पंजीकृत करने की अनुमति देती है, जिसमें बेसिक प्रमाणीकरण (Basic Authentication) सक्षम है, भले ही प्रशासकों ने पोर्टल UI में उपयोगकर्ता साइनअप अक्षम कर दिया हो।

यह बाईपास क्रॉस-टेनेंट खाता निर्माण सक्षम करता है, जो संभावित रूप से API दस्तावेज़ीकरण, सदस्यता कुंजियों (subscription keys) और डेवलपर पोर्टल के माध्यम से उजागर अन्य संसाधनों तक अनधिकृत पहुँच की अनुमति देता है।

प्रकटीकरण समयरेखा

भेद्यता विवरण

समस्या

जब Azure APIM डेवलपर पोर्टल के लिए बेसिक प्रमाणीकरण के साथ कॉन्फ़िगर किया जाता है, तो प्रशासक Azure पोर्टल UI के माध्यम से उपयोगकर्ता पंजीकरण अक्षम कर सकते हैं। हालाँकि, यह केवल पोर्टल इंटरफ़ेस में साइनअप फ़ॉर्म को छुपाता है।

अंतर्निहित साइनअप API एंडपॉइंट सक्रिय रहता है और सीधे पंजीकरण अनुरोध स्वीकार करता है, जिससे UI प्रतिबंध पूरी तरह से बाईपास हो जाता है।

मूल कारण

दो समस्याएँ मिलकर यह भेद्यता उत्पन्न करती हैं:

1. केवल UI प्रतिबंध: साइनअप अक्षम करना केवल पोर्टल UI में फ़ॉर्म छुपाता है। बैकएंड साइनअप API सक्रिय और सुलभ रहता है।
2. कोई टेनेंट सत्यापन नहीं: साइनअप API यह सत्यापित नहीं करता है कि अनुरोध उसी टेनेंट के पोर्टल से आया है। किसी भी स्रोत से किसी भी भेद्य इंस्टेंस पर पंजीकरण करने के लिए अनुरोध तैयार किए जा सकते हैं।

हमला वेक्टर

हमले के लिए दो APIM इंस्टेंस की आवश्यकता होती है:

1. हमलावर का इंस्टेंस: साइनअप सक्षम वाला कोई भी APIM डेवलपर पोर्टल (या हमलावर का अपना APIM इंस्टेंस)
2. लक्ष्य इंस्टेंस: पीड़ित का APIM डेवलपर पोर्टल जिसमें UI में साइनअप "अक्षम" है लेकिन बेसिक प्रमाणीकरण अभी भी कॉन्फ़िगर है

चरण:

1. हमलावर अपने स्वयं के APIM डेवलपर पोर्टल साइनअप पृष्ठ तक पहुँचता है (जहाँ साइनअप सक्षम है)
2. हमलावर साइनअप फ़ॉर्म भरता है और अनुरोध को इंटरसेप्ट करता है (जैसे, Burp Suite का उपयोग करके)
3. हमलावर Host हेडर को अपने इंस्टेंस से बदलकर लक्ष्य इंस्टेंस कर देता है
4. हमलावर संशोधित अनुरोध सबमिट करता है
5. लक्ष्य इंस्टेंस पर खाता बन जाता है, भले ही उनके एडमिन कंसोल में साइनअप "अक्षम" हो
6. हमलावर को पंजीकृत उपयोगकर्ता के रूप में लक्ष्य डेवलपर पोर्टल तक पहुँच मिलती है

मुख्य तकनीकी विवरण: क्रॉस-टेनेंट बाईपास साइनअप POST अनुरोध में Host हेडर में हेरफेर करके काम करता है। /signup एंडपॉइंट टेनेंट सीमाओं को सत्यापित किए बिना Host हेडर के आधार पर अनुरोधों को संसाधित करता है।

अनुरोध हेरफेर का उदाहरण:

POST /signup HTTP/1.1
Host: target-apim.developer.azure-api.net   <-- Changed from attacker's instance
Origin: https://attacker-apim.developer.azure-api.net
Content-Type: application/json

{"challenge":{...},"signupData":{"email":"[email protected]",...}}

मूल समस्या: UI में साइनअप अक्षम करने से अंतर्निहित API अक्षम नहीं होता है। API एंडपॉइंट Host हेडर के आधार पर क्रॉस-टेनेंट अनुरोध स्वीकार करता है।

प्रभाव

• क्रॉस-टेनेंट खाता निर्माण - बेसिक प्रमाणीकरण सक्षम किसी भी APIM इंस्टेंस पर पंजीकरण
• प्रशासनिक नियंत्रणों का बाईपास - साइनअप प्रतिबंध अप्रभावी हैं
• API दस्तावेज़ीकरण तक पहुँच जिसमें संवेदनशील आंतरिक जानकारी हो सकती है
• API सदस्यता कुंजियों का अनुरोध करने की संभावना पोर्टल कॉन्फ़िगरेशन पर निर्भर करती है
• आंतरिक पोर्टल एक्सपोज़र - बाहरी हमलावर "आंतरिक" पोर्टल पर पंजीकरण कर सकते हैं

प्रभावित कॉन्फ़िगरेशन

आपका APIM इंस्टेंस भेद्य है यदि:

• बेसिक प्रमाणीकरण पहचान प्रदाता कॉन्फ़िगर किया गया है (भले ही UI में साइनअप "अक्षम" हो)
• डेवलपर पोर्टल तैनात और सुलभ है

आपका APIM इंस्टेंस भेद्य नहीं है यदि:

• बेसिक प्रमाणीकरण पहचान प्रदाता पूरी तरह से हटा दिया गया है (सिर्फ साइनअप अक्षम नहीं)
• केवल Azure AD / OAuth प्रमाणीकरण कॉन्फ़िगर किया गया है
• डेवलपर पोर्टल तैनात नहीं है या अक्षम है

मुख्य बिंदु: Azure पोर्टल UI में साइनअप अक्षम करना पर्याप्त नहीं है। क्रॉस-टेनेंट साइनअप बाईपास को रोकने के लिए बेसिक प्रमाणीकरण पहचान प्रदाता को पूरी तरह से हटाया जाना चाहिए।

Azure संसाधन गुण

Azure Resource Graph, ARM टेम्पलेट या Azure Policy के माध्यम से भेद्य APIM इंस्टेंस की पहचान करने के लिए इन गुण मानों का उपयोग करें।

भेद्य कॉन्फ़िगरेशन गुण

पहचान प्रदाता जाँच (उप-संसाधन)

बेसिक प्रमाणीकरण पहचान प्रदाता APIM इंस्टेंस के अंतर्गत एक अलग संसाधन है:

Resource Type: Microsoft.ApiManagement/service/identityProviders
Name: basic

यदि मौजूद है तो भेद्य: basic पहचान प्रदाता संसाधन की उपस्थिति इंगित करती है कि बेसिक प्रमाणीकरण कॉन्फ़िगर किया गया है।

पोर्टल साइनअप सेटिंग्स (उप-संसाधन)

Resource Type: Microsoft.ApiManagement/service/portalsettings/signup
Property: properties.enabled

Azure संसाधन ग्राफ़ क्वेरी

संभावित रूप से भेद्य APIM इंस्टेंस खोजने के लिए इस क्वेरी का उपयोग करें:

resources
| where type == "microsoft.apimanagement/service"
| where properties.developerPortalStatus == "Enabled"
| where sku.name != "Consumption"
| project name, resourceGroup, subscriptionId, location, sku.name, properties.developerPortalStatus

बेसिक प्रमाणीकरण पहचान प्रदाताओं की जाँच करने के लिए:

resources
| where type == "microsoft.apimanagement/service/identityproviders"
| where name endswith "/basic"
| project apimInstance=tostring(split(id, "/providers/Microsoft.ApiManagement/service/")[1]), resourceGroup, subscriptionId

Azure CLI कमांड

डेवलपर पोर्टल स्थिति जाँचें:

az apim show --name <apim-name> --resource-group <rg-name> --query "{name:name, portalStatus:developerPortalStatus, sku:sku.name}"

पहचान प्रदाताओं की सूची बनाएँ ('basic' की जाँच करें):

az apim identity-provider list --resource-group <rg-name> --service-name <apim-name> --query "[].name"

साइनअप सेटिंग्स जाँचें:

az rest --method get --url "https://management.azure.com/subscriptions/<sub-id>/resourceGroups/<rg-name>/providers/Microsoft.ApiManagement/service/<apim-name>/portalsettings/signup?api-version=2022-08-01" --query "properties.enabled"

सारांश तालिका

गंभीर संयोजन: एक इंस्टेंस साइनअप बाईपास के लिए भेद्य होता है जब:

• properties.developerPortalStatus == 'Enabled' और
• identityProviders/basic संसाधन मौजूद हो और
• portalsettings/signup.properties.enabled == false

अपने संगठन के APIM इंस्टेंस की पहचान

कानूनी अस्वीकरण: नीचे दी गई जानकारी केवल आपके अपने संगठन के Azure APIM इंस्टेंस की पहचान और सुरक्षा के लिए प्रदान की गई है। कंप्यूटर सिस्टम तक अनधिकृत पहुँच अवैध है। केवल उन्हीं सिस्टम का परीक्षण करें जिनके आप स्वामी हैं या जिनके परीक्षण के लिए आपके पास स्पष्ट लिखित प्राधिकरण है।

Google Dorks

बेसिक प्रमाणीकरण साइनअप वाले पोर्टल खोजें (सबसे अधिक संभावित रूप से भेद्य):

site:developer.azure-api.net "Sign up" "Email" "Password"

site:developer.azure-api.net "Create account" "Username"

site:developer.azure-api.net inurl:/signup "register"

साइनइन पृष्ठों वाले पोर्टल खोजें (इंगित करता है कि बेसिक प्रमाणीकरण कॉन्फ़िगर हो सकता है):

site:developer.azure-api.net "Sign in" "Email" "Password" -"Azure AD" -"Microsoft account"

site:developer.azure-api.net inurl:/signin "password"

उजागर API दस्तावेज़ीकरण वाले डेवलपर पोर्टल खोजें:

site:developer.azure-api.net inurl:/apis "Subscribe"

site:developer.azure-api.net "API" "Products" "Subscribe"

सामान्य खोज:

site:*.developer.azure-api.net

inurl:developer.azure-api.net "Developer Portal"

Shodan

APIM डेवलपर पोर्टल खोजें:

http.title:"Developer Portal" http.html:"azure-api.net"

ssl.cert.subject.cn:"*.developer.azure-api.net"

http.html:"developerPortal" http.html:"azure"

Nuclei मास स्कैन

लक्ष्य खोजने के बाद, Nuclei से स्कैन करें:

# Save targets to file
echo "https://target1.developer.azure-api.net" > targets.txt
echo "https://target2.developer.azure-api.net" >> targets.txt

# Mass scan
nuclei -t azure-apim-signup-bypass.yaml -l targets.txt -o vulnerable.txt

आपके संगठन के लिए एसेट खोज

यदि आपका संगठन Azure APIM का उपयोग करता है, तो आप अपने स्वयं के इंस्टेंस की पहचान इस प्रकार कर सकते हैं:

Azure पोर्टल:

• Azure पोर्टल → All Resources → "API Management" द्वारा फ़िल्टर करें
• या पिछले अनुभाग की क्वेरीज़ के साथ Azure Resource Graph Explorer का उपयोग करें

Azure CLI (अपनी सदस्यताओं के लिए):

# List all APIM instances in your subscriptions
az apim list --query "[].{name:name, resourceGroup:resourceGroup, url:developerPortalUrl}"

अपने स्वयं के इंस्टेंस सत्यापित करना

यह जाँचने के लिए इन विधियों का उपयोग करें कि क्या आपके संगठन के APIM इंस्टेंस भेद्य हैं:

सत्यापन स्क्रिप्ट का उपयोग करना:

# Check your own instance
python apim_vuln_checker.py https://YOUR-ORG.developer.azure-api.net

# With Azure RM property checks (recommended for internal audits)
python apim_vuln_checker.py --azure -s YOUR-SUB-ID -g YOUR-RG -n YOUR-APIM-NAME

आंतरिक सुरक्षा ऑडिट के लिए Nuclei का उपयोग करना:

# Scan your organization's APIM instances
nuclei -t azure-apim-signup-bypass.yaml -u https://YOUR-ORG.developer.azure-api.net

भेद्य कॉन्फ़िगरेशन के संकेतक

अपने स्वयं के इंस्टेंस का ऑडिट करते समय, इन संकेतों को देखें:

• डेवलपर पोर्टल ईमेल/पासवर्ड फ़ील्ड के साथ "Sign up" दिखाता है (सिर्फ "Sign in with Microsoft" नहीं)
• Azure पोर्टल में बेसिक प्रमाणीकरण पहचान प्रदाता कॉन्फ़िगर किया गया है
• साइनअप UI में "अक्षम" है लेकिन बेसिक प्रमाणीकरण प्रदाता अभी भी मौजूद है

भेद्य नहीं होने के संकेतक:

• केवल "Sign in with Microsoft" या "Azure AD" विकल्प दृश्यमान हैं
• कोई बेसिक प्रमाणीकरण पहचान प्रदाता कॉन्फ़िगर नहीं है
• डेवलपर पोर्टल पूरी तरह से अक्षम है

अधिकृत पेनेट्रेशन टेस्टिंग

यदि आप अधिकृत परीक्षण करने वाले सुरक्षा पेशेवर हैं:

1. सुनिश्चित करें कि आपके पास सिस्टम स्वामी से लिखित प्राधिकरण है
2. अपने कार्य का दायरा और सीमाएँ दस्तावेज़ित करें
3. जिम्मेदार प्रकटीकरण प्रथाओं का पालन करें
4. निष्कर्ष संगठन को रिपोर्ट करें, सार्वजनिक रूप से शोषण न करें

जिम्मेदार प्रकटीकरण

यदि आप किसी भेद्य तृतीय-पक्ष APIM इंस्टेंस की खोज करते हैं:

1. बिल्कुल न करें खाते बनाने या सिस्टम तक पहुँचने का प्रयास
2. सीधे संगठन की सुरक्षा टीम से संपर्क करें
3. उन्हें यह सलाह प्रदान करें ताकि वे उपाय कर सकें
4. किसी भी प्रकटीकरण से पहले उपाय के लिए उचित समय दें

सत्यापन स्क्रिप्ट

यह जाँचने के लिए एक Python स्क्रिप्ट प्रदान की गई है कि क्या आपका APIM इंस्टेंस भेद्य है।

स्थापना

# Basic installation (HTTP probe only)
pip install requests colorama

# Full installation (includes Azure RM property checks)
pip install requests colorama azure-identity

उपयोग

स्क्रिप्ट दो मोड का समर्थन करती है:

1. HTTP प्रोब - डेवलपर पोर्टल एंडपॉइंट के माध्यम से बाहरी ब्लैक-बॉक्स जाँच
2. Azure RM जाँच - Azure Resource Manager API के माध्यम से आंतरिक गुण जाँच

# HTTP probe (external check)
python apim_vuln_checker.py https://your-apim.developer.azure-api.net

# Azure RM property check (requires az login)
python apim_vuln_checker.py --azure -s <subscription-id> -g <resource-group> -n <apim-name>

# Combined check (both HTTP probe and Azure RM)
python apim_vuln_checker.py https://your-apim.developer.azure-api.net \
    --azure -s <subscription-id> -g <resource-group> -n <apim-name>

# Verbose output
python apim_vuln_checker.py https://your-apim.developer.azure-api.net -v

# Skip SSL verification
python apim_vuln_checker.py https://your-apim.developer.azure-api.net -k

# JSON output
python apim_vuln_checker.py https://your-apim.developer.azure-api.net --json

Azure RM गुण जाँच

--azure मोड का उपयोग करते समय, स्क्रिप्ट जाँच के लिए सीधे Azure Resource Manager API से क्वेरी करती है:

Azure RM मोड के लिए पूर्वापेक्षाएँ:

1. azure-identity स्थापित करें: pip install azure-identity
2. Azure के साथ प्रमाणीकरण करें: az login
3. सुनिश्चित करें कि आपके पास APIM संसाधन तक Reader पहुँच है

उदाहरण आउटपुट

   ___                 __              ____      
  / _ )___  __ _____  / /___ ____ __  / __ \__ __
 / _  / _ \/ // / _ \/ __/ // / // / / /_/ / // /
/____/\___/\_,_/_//_/\__/\_, /\_, /  \____/\_, / 
                        /___//___/        /___/  
    
    Author: Mihalis Haatainen, Bountyy Oy - www.bountyy.fi

======================================================================
Azure APIM Vulnerability Checker
Cross-Tenant Signup Bypass Detection
======================================================================

[?] Checking signup endpoint accessibility...
[i] Signup endpoint is accessible
[?] Checking if Basic Auth signup API is accessible...
[!] Basic Auth signup API ACTIVE (captcha validation)
[?] Checking if signup is hidden/disabled in UI...
[i] Signup page returns 404 (hidden in UI)

======================================================================
VULNERABILITY ASSESSMENT RESULTS
======================================================================

Target: https://example.developer.azure-api.net

Risk Level: CRITICAL - VULNERABLE TO SIGNUP BYPASS

Detailed Checks:

  [!] signup_ui: Signup endpoint is accessible
  [!] basic_auth_api: Basic Auth signup API ACTIVE (captcha validation)
  [+] signup_ui_hidden: Signup page returns 404 (hidden in UI)

Recommendations:

CRITICAL: SIGNUP BYPASS VULNERABILITY CONFIRMED

The Basic Auth signup API is accessible even though UI hides signup.
Attackers can register accounts by calling the API directly.

Immediate actions:
  1. DISABLE Basic Authentication in Azure Portal immediately
  2. Audit all developer portal user accounts for unauthorized signups
  3. Review user creation logs - check for API-based registrations
  4. Implement Azure AD authentication only

Nuclei टेम्पलेट

स्वचालित स्कैनिंग के लिए एक Nuclei टेम्पलेट प्रदान किया गया है।

उपयोग

# Single target
nuclei -t azure-apim-signup-bypass.yaml -u https://target.developer.azure-api.net

# Multiple targets from file
nuclei -t azure-apim-signup-bypass.yaml -l targets.txt

# With proxy (for debugging)
nuclei -t azure-apim-signup-bypass.yaml -u https://target.developer.azure-api.net -proxy http://127.0.0.1:8080

# Skip SSL verification
nuclei -t azure-apim-signup-bypass.yaml -u https://target.developer.azure-api.net -insecure

टेम्पलेट विवरण

• /signup एंडपॉइंट पर परीक्षण कैप्चा डेटा के साथ POST अनुरोध भेजता है
• कैप्चा/सत्यापन त्रुटि प्रतिक्रियाओं की जाँच करके सक्रिय साइनअप API का पता लगाता है
• CVSS स्कोर: 6.5 (मध्यम-उच्च)
• CWE-284: अनुचित अभिगम नियंत्रण (Improper Access Control)

शमन

तत्काल कार्रवाइयाँ

1. Azure पोर्टल में बेसिक प्रमाणीकरण पहचान प्रदाता को पूरी तरह से हटाएँ:

• अपने APIM इंस्टेंस पर जाएँ
• Developer Portal -> Identities पर जाएँ
• "Username and password" पहचान प्रदाता को पूरी तरह से हटाएँ
• नोट: UI में साइनअप अक्षम करना पर्याप्त नहीं है

1. मौजूदा खातों का ऑडिट करें:

• सभी डेवलपर पोर्टल उपयोगकर्ता खातों की समीक्षा करें
• API के माध्यम से बनाए गए खातों को देखें (निर्माण टाइमस्टैम्प और पैटर्न जाँचें)
• किसी भी अनधिकृत खाते को हटाएँ

1. Azure AD प्रमाणीकरण सक्षम करें:

• Azure AD को एकमात्र पहचान प्रदाता के रूप में कॉन्फ़िगर करें
• यह उचित टेनेंट सीमाओं को लागू करता है

दीर्घकालिक अनुशंसाएँ

• विशेष रूप से Azure AD प्रमाणीकरण का उपयोग करें
• UI-स्तरीय साइनअप प्रतिबंधों पर निर्भर न रहें
• डेवलपर पोर्टल साइनअप गतिविधि की निगरानी करें
• नियमित रूप से पोर्टल उपयोगकर्ता खातों का ऑडिट करें

Microsoft की प्रतिक्रिया

Microsoft Security Response Center (MSRC) को इस भेद्यता के बारे में दो बार सूचित किया गया था। दोनों रिपोर्ट निम्नलिखित निर्णय के साथ बंद कर दी गईं:

"डिज़ाइन द्वारा"

MSRC प्रशासनिक नियंत्रणों के बाईपास और क्रॉस-टेनेंट निहितार्थों के बावजूद इसे सुरक्षा भेद्यता नहीं मानता है।

फ़ाइलें

• apim_vuln_checker.py - Python भेद्यता सत्यापन स्क्रिप्ट
• azure-apim-signup-bypass.yaml - स्वचालित स्कैनिंग के लिए Nuclei टेम्पलेट
• README.md - यह फ़ाइल

लेखक

Mihalis Haatainen
Bountyy Oy - फिनिश पेनेट्रेशन टेस्टिंग और सुरक्षा अनुसंधान कंपनी

• वेबसाइट: www.bountyy.fi

लाइसेंस

यह सलाह और संबंधित उपकरण रक्षात्मक उद्देश्यों के लिए जारी किए गए हैं। जिम्मेदारी से उपयोग करें।

MIT लाइसेंस - विवरण के लिए LICENSE फ़ाइल देखें।

संदर्भ

• ब्लॉग पोस्ट: जब "अक्षम" का अर्थ अक्षम नहीं होता
• Azure API Management दस्तावेज़ीकरण
• APIM डेवलपर पोर्टल अवलोकन