El portal de restablecimiento de contraseñas (SSPR) de Microsoft podría exponer detalles sensibles de cuentas a usuarios no autenticados. Esta vulnerabilidad permite revelar si existe una cuenta de Entra ID y cuáles son sus métodos registrados para restablecer la contraseña, lo que facilitaría que los atacantes perfeccionen campañas de phishing, ingeniería social o ataques de password-spraying contra redes corporativas.

El portal SSPR de Microsoft podría exponer detalles sensibles de cuentas a usuarios no autenticados, incluyendo si existe una cuenta de Entra ID y sus métodos registrados de restablecimiento de contraseña.

Esta exposición podría ayudar a los atacantes a perfeccionar sus ataques de phishing, password-spraying y ingeniería social en redes corporativas.

La función de Restablecimiento de Contraseña Autoservicio (SSPR) de Microsoft Entra ID permite que los usuarios restablezcan contraseñas olvidadas a través del portal público ingresando su correo electrónico y eligiendo un método de verificación registrado.

La investigación de Matthew Coady destaca un aspecto problemático del portal: las respuestas del servidor varían según la cuenta proporcionada. Esta variabilidad puede indicar la existencia de una cuenta, la elegibilidad para el SSPR y qué opciones de verificación están disponibles para los usuarios elegibles.

El portal funciona mediante un flujo de trabajo de formulario ASP.NET. Cuando se envía un nombre de usuario, la respuesta del servidor incluye un campo denominado CurrentViewName.

Para cuentas inválidas, el portal permanece en la pantalla de identificador, mientras que las cuentas válidas pueden avanzar a la selección de un método de restablecimiento de contraseña o generar un mensaje de error relacionado con la política.

Estas respuestas de política son cruciales, ya que aún pueden significar que la cuenta ha sido reconocida antes de que se apliquen las restricciones. Por ejemplo, si un usuario forma parte de un grupo que no tiene habilitado el SSPR, la respuesta será diferente a la de un usuario totalmente inexistente.

El Portal de Restablecimiento de Contraseñas de Microsoft Expone Datos

Esta situación crea un problema de enumeración de usuarios. Un atacante armado con una lista de direcciones adquiridas de fuentes públicas, filtraciones de datos o campañas previas de phishing puede identificar cuentas corporativas válidas antes de lanzar ataques de credenciales.

Para los usuarios elegibles para el SSPR, el portal puede mostrar los métodos de verificación registrados, como códigos de Microsoft Authenticator, SMS, llamadas de voz o preguntas de seguridad. El tipo de verificación afecta la resistencia al ataque.

Las cuentas aseguradas mediante una aplicación de autenticación o un método de inicio de sesión fiable son objetivos difíciles en comparación con aquellas que dependen de OTP por correo electrónico o SMS. Por lo tanto, los atacantes pueden personalizar los intentos de fraude basándose en estos datos; por ejemplo, identificar que un objetivo utiliza SMS podría facilitar el SIM-swapping o el phishing en vivo.

El investigador de LevelBlue, Matthew Coady, también descubrió que las cuentas privilegiadas pueden ser más fáciles de detectar dependiendo de las configuraciones del inquilino (tenant). Se aplican requisitos específicos de restablecimiento de contraseña a los roles de administrador, mientras que los usuarios regulares pueden estar excluidos del alcance del SSPR de una organización.

Si el SSPR está limitado para los usuarios estándar, cualquier cuenta que pase a la selección de método podría indicar una cuenta privilegiada, convirtiéndola en un objetivo principal para los atacantes. Aunque no todas las cuentas que avanzan por el portal son administradores, los patrones en las respuestas pueden ofrecer un reconocimiento útil.

Las organizaciones deben considerar las actividades de SSPR como críticas para la seguridad de la identidad, especialmente cuando observen numerosos intentos fallidos de restablecimiento de contraseña en múltiples nombres de usuario.

Como defensor, necesitas revisar la configuración de SSPR, asegurándote de que solo se incluyan los usuarios adecuados. Debes priorizar los métodos de autenticación fuertes y minimizar la dependencia de preguntas de seguridad y correos electrónicos alternativos. Además, es aconsejable utilizar MFA resistente al phishing para las cuentas privilegiadas.

Tus equipos de seguridad también deberían monitorizar los registros de auditoría e inicio de sesión de Entra en busca de patrones de actividades repetidas de restablecimiento de contraseña, solicitudes inusuales contra cuentas ejecutivas y fallos de validación de cuentas.

A pesar de que Microsoft ha implementado medidas protectoras como el estrangulamiento (throttling) en el proceso de restablecimiento de contraseña, no debes depender únicamente de estos controles. Los flujos de trabajo de identidad pública pueden servir como oportunidades de reconocimiento cuando se observan respuestas diferentes según la cuenta.

La prueba de concepto ResetSpy, disponible públicamente, muestra cómo estas discrepancias en las respuestas podrían automatizarse para la enumeración de usuarios y la estimación de vulnerabilidades de SSPR.

Fuentes:
https://cybersecuritynews.com/microsoft-password-reset-portal-reveal/