Microsoft zorgt ervoor dat Entra ID vanaf oktober beter beschermd zal zijn tegen externe scriptinjectie-aanvallen.
Microsoft laat aan klanten weten dat de Entra ID identity and access management (IAM)-oplossing vanaf oktober een betere bescherming zal krijgen tegen externe scriptinjectie-aanvallen. Het bedrijf kondigde deze plannen voor het eerst aan in november 2025.
De nieuwe uitrol moet gebruikers beschermen tegen diverse beveiligingsrisico’s bij het inloggen, zoals cross-site scripting-aanvallen waarbij kwaadaardige code in websites wordt geïnjecteerd om zo inloggegevens buit te maken. De uitrol zou tegen eind oktober afgerond moeten zijn.
Scriptinjectie-aanvallen
In een update op het berichtencentrum, ingelezen door BleepingComputer, schrijft Microsoft dat het zal starten met de handhaving van aanvullende Content Security Policy (CSP)-verdedigingen die alleen scripts van vertrouwde Microsoft content delivery network (CDN)-domeinen toestaat bij het aanmelden van Entra ID.
“Deze wijziging helpt gebruikers te beschermen tegen bedreigingen zoals cross-site scripting (XSS) door alleen vertrouwde en door Microsoft gehoste scripts tijdens authenticatie te laten draaien en ongeautoriseerde of extern geïnjecteerde code te blokkeren”, schrijft het bedrijf.
Browserextensies
Verder adviseert Microsoft zakelijke klanten om te stoppen met het gebruik van browserextensies en tools die code of scripts injecteren in aanmeldpagina’s voordat de nieuwe CSP-wijzigingen van kracht worden. Organisaties worden aangeraden om aanmeldscenario’s voor de deadline van volgende maand te testen. Zo kunnen IT-beheerders een mogelijke impact identificeren en zoeken naar overtredingen die in rode tekst verschijnen.
“Gebruikers zullen kunnen inloggen, zelfs als niet-ondersteunde scriptinjectietools niet meer functioneren. Deze wijziging is standaard ingeschakeld als onderdeel van de service-update en vereist geen tenantconfiguratie.”
“Microsoft Authentication Library (MSAL) en API-gebaseerde authenticatieflows worden niet beïnvloed omdat CSP-handhaving alleen geldt voor browsergebaseerde aanmeldervaringen met login.microsoftonline.com”, verduidelijkt het bedrijf.