Entra Provisioning Service Vulnerability CVE-2026-59115: Zwei kritische SyncFabric-EoP-Lücken

Was ist die Entra Provisioning Service Schwachstelle CVE-2026-59115

Dies ist eine technische Analyse der Entra Provisioning Service Schwachstelle CVE-2026-59115, einer kritischen Elevation-of-Privilege-Lücke, die Microsoft am 6. August 2026 im Microsoft Entra Provisioning Service offenlegte — auch bekannt als SyncFabric, die Cloud-Engine, die Identitäten über Entra ID, HR-Quellen, SCIM-verbundene SaaS-Apps und mandantenübergreifende Synchronisierungsziele hinweg erstellt, aktualisiert und entfernt. Es ist die zweite kritische Elevation-of-Privilege-Lücke, die innerhalb von fünf Wochen in genau dieser Komponente gefunden wurde: CVE-2026-57100, ein verwandtes Server-Side-Request-Forgery-Problem (SSRF), wurde im Juli-2026-Update-Zyklus von Microsoft still gepatcht.

Für keine der beiden CVEs war ein KB-Artikel oder ein von Kunden bereitgestellter Patch erforderlich — beide wurden serverseitig behoben, da der Entra Provisioning Service vollständig in der Cloud von Microsoft läuft. Aber „kein Patch zum Ausrollen" bedeutet nicht „nichts zu überprüfen". Dieser Artikel behandelt, was zu beiden Schwachstellen öffentlich bestätigt ist, wie Erkennung für einen von Microsoft gehosteten Dienst, den Sie nicht direkt instrumentieren können, tatsächlich aussieht, sowie die konkreten Härtungsmaßnahmen, die Ihre Angriffsfläche unabhängig davon reduzieren, was Microsoft als Nächstes offenlegt.

Wie die beiden SyncFabric-Schwachstellen funktionieren

Beide CVEs befinden sich in derselben Komponente und teilen sich ein identisches MSRC-Beschreibungsmuster — „ermöglicht einem autorisierten Angreifer, Berechtigungen über ein Netzwerk zu erweitern" —, sind jedoch zwei unterschiedliche Fehlerklassen.

Quellen: NVD — CVE-2026-59115, NVD — CVE-2026-57100, GitHub Advisory Database — GHSA-w2pm-fvgr-6r6g, Tenable — CVE-2026-57100.

CVE-2026-59115 ist ein Path-Traversal-Fehler. Das dem CWE-35 zugrunde liegende Sequenzmuster .../...// beschreibt Eingaben, die sich zu einem Speicherort außerhalb eines eingeschränkten Verzeichnisses auflösen. In einer Provisioning-Pipeline, die Identitätsobjekte über Vertrauensgrenzen hinweg liest und schreibt — Quellverzeichnis, Sync-Engine, Zielanwendung —, ist ein unbeschränktes Traversal-Primitiv ein Privilege-Escalation-Pfad und nicht nur ein Fehler zur Offenlegung von Dateien: Sie ist mit S:C (Scope geändert) bewertet, was bedeutet, dass ein erfolgreicher Exploit Ressourcen über die verwundbare Komponente selbst hinaus betreffen kann. Zum Zeitpunkt der Erstellung dieses Artikels veröffentlicht Microsofts Advisory weder die Angriffsmethode noch eine Liste betroffener Builds, eine KB-Nummer oder Hinweise zur Schadensbegrenzung über den bloßen CVSS-Vektor hinaus — eine Lücke, die unabhängig von mehreren Trackern festgestellt wurde (Windows Forum). Auch die NVD hat für diese CVE noch keine eigene unabhängige CVSS-Bewertung veröffentlicht — die auf ihrer Listung angezeigte Bewertung ist Microsofts CNA-Einstufung, keine NVD-Neubewertung.

CVE-2026-57100 ist eine Server-Side Request Forgery: Der Provisioning-Dienst kann im Namen des Angreifers dazu gebracht werden, Anfragen zu stellen, die der Angreifer auswählt. Microsofts eigene CNA-Bewertung (9.9, Scope geändert) und die unabhängige Neubewertung der NVD (8.8, Scope unverändert) sind sich uneinig darüber, ob die Schwachstelle eine Sicherheitsgrenze überschreitet — eine Bewertungsdivergenz, die auftritt, wenn der Wirkungsradius einer SSRF von einer internen Diensttopologie abhängt, die die NVD aus dem öffentlichen Advisory nicht vollständig verifizieren kann. Beide Bewertungen stimmen darin überein, dass die Schwachstelle über das Netzwerk mit geringer Angriffskomplexität und ohne Benutzerinteraktion ausnutzbar ist, und unterscheiden sich nur im Wirkungsradius. Microsofts Berichterstattung zum Juli-Patch-Tuesday bestätigt, dass der Fix „vollständig auf Microsofts Infrastruktur behoben wurde und keine Kundenmaßnahme erforderlich ist" (CrowdStrike).

Was „autorisierter Angreifer" hier bedeutet

Beide Schwachstellen erfordern PR:L — Microsofts Advisories beschreiben den Akteur als „autorisierten Angreifer", was nicht dasselbe ist wie ein „anonymer Internetnutzer". Es bedeutet, dass der Ausgangspunkt ein gewisser Basiszugriff auf den Zielmandanten oder dessen Provisioning-Konfiguration ist: ein niedrig privilegiertes, aber kompromittiertes Benutzerkonto, ein delegierter Administrator mit eng begrenzten Provisioning-Rechten oder eine Anmeldeinformation, die zu einem Service Principal gehört, der bereits mit der Provisioning-Pipeline kommuniziert. Das ist ein deutlich anderes Bedrohungsmodell als ein nicht authentifizierter Remote-Exploit — der Schwerpunkt liegt darauf, wie streng Sie von vornherein kontrollieren, wer und was Zugriff nahe der Provisioning-Funktion besitzt, worauf sich die untenstehenden Behebungsschritte genau konzentrieren. Weder das Herstelleradvisory noch die für diesen Artikel geprüften Tracker berichten zum Zeitpunkt der Erstellung dieses Artikels von Hinweisen auf eine Ausnutzung in freier Wildbahn für eine der beiden CVEs.

Erkennung

Hier kommt der unangenehme Teil: SyncFabric ist ein von Microsoft betriebener Cloud-Dienst, keine Windows-Server-Rolle, in die Sie einen EDR-Agent oder eine Sysmon-Konfiguration einbringen können. Für keine der beiden CVEs gibt es eine veröffentlichte Entra-seitige Event-ID, Sentinel-Abfrage oder IOC, da der verwundbare Code nicht in Ihrem Mandanten läuft — sondern in dem von Microsoft. Jede Erkennungsanleitung, die behauptet, speziell bei der Ausnutzung von CVE-2026-59115 oder CVE-2026-57100 anzuschlagen, würde ein Signal erfinden, das im öffentlichen Datensatz nicht existiert.

Was Sie tun können, ist die Überwachung rund um den Wirkungsradius der Provisioning-Pipeline zu verschärfen, da PR:L bedeutet, dass der Angriff von einem Zugriff ausgeht, dessen Vergabe Sie kontrollieren:

(Quellen: Microsoft-Entra-Provisioning-Logs, Referenz zu Audit-Log-Aktivitäten.)

Provisioning-Logs werden bei einem Premium-Mandanten 30 Tage lang aufbewahrt (7 Tage bei einem kostenlosen Mandanten) — leiten Sie sie über Diagnoseeinstellungen an Azure Monitor / Log Analytics weiter, wenn Sie eine längere Aufbewahrung benötigen oder Alarme darauf einrichten möchten. Sie können Provisioning-Aktivitäten direkt über Microsoft Graph abfragen:

GET https://graph.microsoft.com/v1.0/auditLogs/provisioning?$filter=provisioningStatusInfo/status eq 'failure'&$orderby=activityDateTime desc&$top=50

Mandantenübergreifende Synchronisierung und B2B-Provisioning

Dieselbe SyncFabric-Engine treibt auch die mandantenübergreifende Synchronisierung (Cross-Tenant Synchronization) von Microsoft Entra an — die Funktion, die Gastidentitäten aus einem Partnermandanten automatisch bereitstellt. Laut Microsofts eigener Dokumentation erscheinen Konfigurationsänderungen für die mandantenübergreifende Synchronisierung in den Audit-Logs unter derselben Kategorie ProvisioningManagement wie reguläres App-Provisioning, während die Create-/Update-/Delete-Ereignisse für die synchronisierten Gastkonten selbst in den Provisioning-Logs landen. Wenn Ihr Mandant mandantenübergreifende Synchronisierung nutzt, gilt dieselbe Connector-Berechtigungsprüfung aus dem Abschnitt Behebung weiter unten auch dafür — es ist derselbe zugrunde liegende Dienst, nur mit einer anderen Quell-/Ziel-Paarung.

Behebung

1. Erfassen Sie, wer und was als „autorisiert" gegenüber Ihrer Provisioning-Konfiguration gilt. PR:L bedeutet, dass der Ausgangspunkt für beide CVEs ein bereits bestehendes Privileg ist — eine Admin-Rolle, eine delegierte Berechtigung oder ein kompromittierter Service Principal mit Rechten über Provisioning-Jobs. Überprüfen Sie die Mitgliedschaft der Rollen, die die Provisioning-Konfiguration lesen oder ändern können (Hybrid Identity Administrator, Application Administrator sowie alle benutzerdefinierten Rollen mit Berechtigungen für die Provisioning-Konfiguration) — einschließlich Break-Glass-Notfallzugangskonten, die von Natur aus oft breite dauerhafte Privilegien tragen und bei einer eng fokussierten Überprüfung wie dieser leicht vergessen werden.
2. Stellen Sie Provisioning-nahe Admin-Rollen unter PIM, statt sie dauerhaft zuzuweisen, damit ein kompromittiertes Konto keinen dauerhaften Zugriff auf die Provisioning-Pipeline erhält. PIM erfordert eine Entra-ID-P2-Lizenz — siehe Azure AD Premium P2 Funktionen, falls Sie unsicher sind, ob sie aktiviert ist — sowie wie man die Sicherheit von Microsoft Entra ID auditiert für eine umfassendere Checkliste zur Überprüfung von Conditional Access und PIM.
3. Überprüfen Sie den/die Service Principal(s) hinter Ihren Provisioning-Connectors — HR-gesteuertes Provisioning, SCIM-Apps, mandantenübergreifende Synchronisierung — auf überzählige Anmeldeinformationen, veraltete Secrets oder Rollenzuweisungen auf Admin-Ebene. Ein SSRF- oder Path-Traversal-Fehler im Provisioning-Pfad ist gefährlicher, wenn die eigene Identität des Connectors überprivilegiert ist.
4. Streamen Sie Provisioning- und Audit-Logs an Log Analytics, falls noch nicht geschehen, damit Sie beim nächsten Advisory dieser Art über mehr als 30 Tage Historie verfügen.
5. Verfolgen Sie das MSRC-Advisory zu CVE-2026-59115 direkt. Da Microsoft dafür noch keine Liste betroffener Konfigurationen oder Hinweise zur Schadensbegrenzung veröffentlicht hat, prüfen Sie die Advisory-Seite selbst erneut, statt sich auf eine Momentaufnahme zu verlassen — mehrere Tracker haben diese Lücke bereits vermerkt, und sie könnte nach der Erstveröffentlichung noch gefüllt werden.

Wenn Sie HR-gesteuertes oder mandantenübergreifendes Provisioning nutzen

Die Überprüfung aus Schritt 3 ist für HR-gesteuertes Provisioning (Workday, SuccessFactors) und mandantenübergreifende Sync-Connectors nicht weniger, sondern noch wichtiger, da diese naturgemäß typischerweise mit weitreichenden Create-/Update-/Delete-Rechten über Ihre gesamte Benutzerpopulation hinweg laufen. Stellen Sie sicher, dass die Anmeldeinformationen des Connectors so eng wie von der Integration erlaubt begrenzt sind, rotieren Sie alle Bearer-Token oder Client-Secrets, die älter als dieses Offenlegungsfenster sind, und überprüfen Sie — speziell für mandantenübergreifende Synchronisierung — Ihre eingehenden und ausgehenden automatischen Redemption-Richtlinien, damit ein unerwartetes Gast-Provisioning-Ereignis nicht unbemerkt durchrutscht.

Wie EtcSec dies erkennt

EtcSec kann ebenso wenig wie Sie in Microsofts SyncFabric-Dienst hineinsehen — prüft aber kontinuierlich die beiden Faktoren, die bestimmen, wie viel Schaden ein „autorisierter Angreifer" anrichten kann, sollte eine der beiden CVEs oder die nächste in dieser Komponente zu einem funktionierenden Exploit werden: ob Service Principals Rollen auf Admin-Ebene besitzen (PA_SERVICE_PRINCIPAL_ADMIN) und ob privilegierte Rollen — einschließlich solcher mit Provisioning-nahen Berechtigungen — außerhalb von PIM mit dauerhafter Zuweisung bestehen (PA_PIM_NOT_ENABLED). Die Verschärfung beider Punkte schließt die Lücke zwischen „ein Angreifer verschafft sich einen Fuß in der Tür" und „ein Angreifer eskaliert über die Provisioning-Pipeline".