CVE-2025-49012

Himmelblau, Microsoft Azure Entra ID ve Intune için bir birlikte çalışabilirlik paketidir. Himmelblau'nun 0.9.0 ile 0.9.14 arasındaki sürümleri ve 1.00-alpha sürümü, Entra ID grup tabanlı erişim kısıtlamaları nesne kimlikleri (object ID) yerine grup görüntüleme adları kullanılarak yapılandırıldığında bir yetki yükseltme sorununa karşı savunmasızdır. Sürüm 0.9.0 ile başlayan Himmelblau, `pam_allow_groups` yapılandırma seçeneğinde grup isimlerinin belirtilmesini desteklemeye başlamıştır. Ancak Microsoft Entra ID, kiracı ayarlarına bağlı olarak yönetici olmayan kullanıcılar tarafından bile Microsoft Graph API aracılığıyla aynı `displayName` değerine sahip birden fazla grubun oluşturulmasına izin vermektedir. Sonuç olarak, bir kullanıcı meşru bir erişim grubuyla (örneğin, `"Allow-Linux-Login"`) aynı ada sahip kişisel bir grup oluşturabilir, kendisini bu gruba ekleyebilir ve Himmelblau tarafından kimlik doğrulama veya `sudo` hakları kazanabilir. Etkilenen Himmelblau sürümleri grup isimlerini ya `displayName` üzerinden ya da değişmez olan `objectId` üzerinden karşılaştırdığı için, giriş işlemini resmi ve merkezi olarak yönetilen grupların üyeleriyle sınırlandırmayı amaçlayan erişim kontrol mekanizmalarının atlatılmasına izin verir. Bu sorun Himmelblau sürüm **0.9.15** ve sonrasında düzeltilmiştir. Bu sürümlerde, `pam_allow_groups` içerisindeki grup adı eşleştirmesi kullanımdan kaldırılmış ve silinmiş olup, güvenli grup tabanlı filtreleme için yalnızca grup `objectId`leri (GUID'ler) belirtilebilir. Güncelleme yapmadan sorunu hafifletmek için `pam_allow_groups` içindeki tüm girdileri hedef Entra ID grubunun/gruplarının objectId değeri ile değiştirin ve/veya Microsoft Graph API kullanarak kiracınızda yinelenen görüntüleme adlarına sahip grupları denetleyin.