Una vulnerabilidad de alta gravedad en la implementación de Azure Single Sign-On del Windows Admin Center ha expuesto máquinas virtuales de Azure y sistemas conectados a Arc a accesos no autorizados en inquilinos completos. Los laboratorios de investigación de Cymulate descubrieron el fallo, ahora registrado como CVE-2026-20965, que demuestra cómo una validación incorrecta de tokens puede derribar los límites de seguridad entre máquinas individuales y entornos completos de Azure. 

Una vulnerabilidad de alta gravedad en la implementación de Single Sign-On (SSO) de Azure en Windows Admin Center ha expuesto máquinas virtuales de Azure y sistemas conectados mediante Arc a accesos no autorizados en todos los inquilinos (tenants).

Los laboratorios de investigación de Cymulate descubrieron la falla, ahora registrada como CVE-2026-20965, que demuestra cómo una validación incorrecta de tokens puede derribar los límites de seguridad entre máquinas individuales y entornos completos de Azure.

Microsoft corrigió el problema mediante la actualización Windows Admin Center Azure Extension v0.70.00 el 13 de enero de 2026, tras la divulgación de Cymulate en agosto de 2025. Todas las implementaciones sin parchear por debajo de esta versión siguen expuestas.

La explotación requiere acceso de administrador local en una máquina virtual de Azure o máquina Arc con WAC habilitado, además de un usuario privilegiado conectándose a través del Portal de Azure. No se ha reportado explotación en la naturaleza, pero se recomienda detección retrospectiva, según añadió Cymulate en su informe.

Windows Admin Center utiliza dos tokens: WAC.CheckAccess (verifica el acceso basado en roles mediante UPN) y un token PoP (Proof of Possession) (par de claves generado por el navegador para evitar replay).

Las fallas incluyen: no coincidencia de UPN entre tokens, aceptación de tokens PoP de otros tenants, URLs no restringidas al gateway en el token PoP (ej. IP directa vía puerto 6516), reutilización de nonces y WAC.CheckAccess sin alcance, lo que otorga acceso a todo el tenant.

El acceso JIT expone el puerto 6516 a todas las IPs, no solo al DNS del gateway, permitiendo falsificación directa sin necesidad de descubrir el DNS. Esto elimina el aislamiento entre máquinas virtuales, posibilitando la suplantación de administradores en distintos grupos de recursos.

Cadena de ataque

1. Extraer el certificado de WAC, detener el servicio y ejecutar un servidor falso.
2. Capturar el token WAC.CheckAccess de un administrador durante su conexión al portal.
3. Enumerar objetivos mediante metadatos o subredes.
4. Falsificar el token PoP usando un tenant del atacante: generar claves, vincularlas mediante un token de actualización e insertar el ID/IP del recurso objetivo.
5. Enviar InvokeCommand con los tokens mezclados para lograr ejecución remota de código (RCE) en cualquier máquina WAC accesible.
6. Repetir el proceso para encadenar ataques.

Esto permite movimiento lateral, escalada de privilegios, robo de credenciales, compromiso entre suscripciones y evasión mediante UPNs falsos.

Guía de detección

Monitorea cuentas virtuales de WAC como WAC_user@externaltenant.onmicrosoft.com, lo que indica abuso.

Consulta KQL para inicios de sesión sospechosos:

textDeviceLogonEvents
| where Timestamp > ago(30d)
| where AccountName has "@"
| where not(AccountName has "<tu-tenant>")
| project Timestamp, DeviceName, AccountName, ActionType, LogonType
| order by Timestamp desc

Identifica actividad anómala en WAC: nuevas identidades en objetivos, picos de InvokeCommand en contextos de confianza.

Indicadores de compromiso (IOCs):

• Puerto 6516 abierto mediante JIT NSG (desde cualquier origen).
• Procesos o servicios WAC falsos.
• Inicios de sesión con UPN de tenants mezclados.
• Reutilización de tokens PoP sin alcance.

Actualiza a v0.70.00 inmediatamente. Mejora las reglas NSG/JIT para restringirlas solo al gateway. Supervisa los registros de WAC en busca de anomalías.

Esta falla subraya los riesgos del SSO en Azure: brechas sutiles en la validación permiten pivotes desde lo local a la nube, eludiendo la segmentación. Prioriza la aplicación de parches y las pruebas de simulación.