Die krasseste Microsoft 365 Sicherheitslücke aller Zeiten (CVE-2025-55241)

Mit dieser Sicherheitslücke hätten Angreifer jeden beliebigen Microsoft 365 Tenant übernehmen können. Durch undokumentierte "Actor Tokens" und fehlerhafte Validierung, ob die überhaupt zum richtigen Tenant gehören wären Zugriffe möglich gewesen, die teilweise nicht mal geloggt werden. Die Sicherheitslücke wurde von Sicherheitsforscher Dirk-jan Mollema entdeckt und an Microsoft gemeldet. Die Lücke wurde schnell geschlossen und laut Microsoft gibt es keine Anzeichen darauf, dass diese Lücke von echten Angreifern ausgenutzt wurde. 🔗 Blog Post von Dirk-jan Mollema "One Token to rule them all - obtaining Global Admin in every Entra ID tenant via Actor tokens": 👉 https://dirkjanm.io/obtaining-global-... Was auch noch relativ selten ist: Dieser Cloudsicherheitslücke wurde eine CVE Nummer zugeteilt: CVE-2025-55241. Trotzdem besteht eigentlich kein Handlungsbedarf auf M365-Kundenseite. Ich finde das ist eine krasse Sicherheitslücke - Glück gehabt dass Dirk-jan einer von den Guten ist 😅 🎬 Video zum Thema Exchange Hybrid App (Dedizierte App):    • Deadline 31.10.2025: Exchange Hybrid auf d...   Mehr von diecknet 👀 PowerShell Tipps und Beispiele (Playlist):    • PowerShell Tipps und Beispiele   ☕ Mein kostenloser PowerShell Kurs hier auf YouTube:    • PowerShell Kurs (Deutsch)   👉 Kanal abonnieren:    / @diecknet   Andreas Dieckmann macht Videos und Blogs zu Microsoft 365, Azure-Cloud- und weiteren Microsoft-Technologien. 👉 Blog: https://diecknet.de 👉 Mastodon: https://ieji.de/@diecknet 👉 LinkedIn:   / diecknet   ☕ Kaffee spendieren: https://ko-fi.com/diecknet ❤️ Den Kanal unterstützen per YouTube Membership:    / @diecknet   🗨️ Discord Community:   / discord   2️⃣ 2nd Channel (English):    / @diecknet2   Timestamps 00:00:00 Wir hätten alle gehackt sein können 00:00:43 Überblick zu der Lücke 00:02:38 Auswirkungen 00:04:18 Lücke wurde NICHT von Angreifern ausgenutzt 00:05:20 Actor Tokens sind nicht normal 00:11:08 Der fatale Fehler 00:12:02 So hätte ein Angreifer das nutzen können 00:15:26 Detektion 00:17:32 Glück gehabt