Azure API Management: Cross-Tenant-Signup trotz deaktivierter Registrierung

In Microsoft Azure API Management (bis einschließlich 2025-10-17) ermöglicht eine Schwachstelle im Self-Service-Signup-Mechanismus, dass ein Angreifer den Registrierungsflow eines Tenants A missbraucht, um sich trotz deaktivierter Anmeldung im UI auch bei Tenant B zu registrieren – indem lediglich der Host-Header oder Tenant-Bezeichner manipuliert wird. Das zugrunde liegende API-Endpunkt akzeptiert solche mandantenübergreifenden Anfragen, obwohl die Benutzeroberfläche die Registrierung sperrt, was unautorisierte Kontoerstellung mit einem CVSS-Score von 9,8 (kritisch) ermöglicht. Azure API Management wird in Gesundheitseinrichtungen häufig als API-Gateway für klinische Integrationsplattformen, KIS-Schnittstellen oder Cloud-basierte Patientenportale eingesetzt; sofern solche Tenants betroffen sind, könnten Angreifer unbefugten Zugang zu sensiblen Gesundheitsdaten oder nachgelagerten Systemen erlangen. Aufgrund des kritischen CVSS-Scores und der potenziellen Exposition von Patientendaten besteht dringender Handlungsbedarf zur Absicherung aller betroffenen Azure API Management-Instanzen.

1 Self-Service-Signup (Basic Authentication) in Microsoft Azure API Management für alle betroffenen Tenants deaktivieren – nicht nur auf UI-Ebene, sondern durch explizite Deaktivierung des zugrunde liegenden API-Endpunkts über Azure Policy oder Netzwerkzugriffsregeln (z. B. IP-Allowlisting auf den Registrierungs-Endpoint).