Last Updated on 2024-06-11 02:48 by admin
Microsoftは、悪意のあるアクターがAzure Service Tagsを悪用して信頼されたサービスからのリクエストを偽造し、ファイアウォールのルールを回避してクラウドリソースへの不正アクセスを可能にする可能性について警告している。Microsoft Security Response Center (MSRC)は、サービスタグを単一のメカニズムとして受信ネットワークトラフィックを検証することのリスクを指摘し、サービスタグはセキュリティ境界として扱うべきではなく、検証コントロールと併用してのみ使用すべきであるとのガイダンスを発表した。サービスタグは顧客の起点へのトラフィックを保護する包括的な方法ではなく、Webリクエストに関連する脆弱性を防ぐための入力検証を置き換えるものではない。
サイバーセキュリティ企業Tenableの調査により、ファイアウォールのルールがAzure Service Tagsに依存しているAzure顧客は、そのルールを迂回される可能性があることが明らかになった。この機能が野生で悪用された証拠はない。問題の核心は、一部のAzureサービスがサービスタグを介して受信トラフィックを許可し、攻撃者が特別に作成したWebリクエストを送信して、サービスタグからのトラフィックを許可し、独自の認証を行わない別のテナントのリソースにアクセスできる可能性があることにある。脆弱性のあるAzureサービスは10に及び、Azure Application Insights、Azure DevOps、Azure Machine Learning、Azure Logic Apps、Azure Container Registry、Azure Load Testing、Azure API Management、Azure Data Factory、Azure Action Group、Azure AI Video Indexer、およびAzure Chaos Studioが含まれる。
Tenableの研究者Liv Matanは、「この脆弱性により、攻撃者はサーバー側のリクエストを制御し、信頼されたAzureサービスを偽装することができる。これにより、攻撃者はService Tagsに基づくネットワークコントロールを迂回し、Azure顧客の内部資産、データ、およびサービスへの公開アクセスを防ぐためによく使用される」と述べている。2024年1月末の開示に応じて、Microsoftは「Service Tagsだけでは、サービスの性質とそれが送信するトラフィックを考慮せずにトラフィックを保護するには不十分である」と明記してドキュメントを更新した。また、顧客に対して、サービスタグの使用を見直し、サービスタグの信頼できるネットワークトラフィックのみを認証するための適切なセキュリティガードレールを採用していることを確認することを推奨している。
【ニュース解説】
Microsoftは、Azure Service Tagsを悪用して信頼されたサービスからのリクエストを偽造し、ファイアウォールのルールを回避してクラウドリソースへの不正アクセスを可能にする可能性について警告しています。この問題は、サービスタグを介して受信トラフィックを許可する一部のAzureサービスに起因しており、特定の条件下で攻撃者が他のテナントのリソースにアクセスできる可能性があることを示しています。
サービスタグは、Azure内の特定のサービスからのトラフィックを識別するために使用されるラベルです。これらは、ネットワークセキュリティの設定において、信頼できるトラフィックのソースとしてしばしば利用されます。しかし、Microsoftとサイバーセキュリティ企業Tenableの調査によると、サービスタグのみに依存することのリスクが指摘されています。具体的には、攻撃者がサービスタグを悪用して信頼されたサービスを偽装し、ファイアウォールを迂回することで、Azure顧客の内部資産、データ、およびサービスへの不正アクセスを試みる可能性があるとされています。
この問題に対処するため、Microsoftはドキュメントを更新し、サービスタグだけではトラフィックを十分に保護することはできないと明記しました。また、Azure顧客に対して、サービスタグの使用を見直し、信頼できるネットワークトラフィックのみを認証するための適切なセキュリティガードレールを採用することを推奨しています。
この問題の発覚は、クラウドセキュリティの複雑さと、セキュリティ対策の多層的なアプローチの重要性を浮き彫りにしています。サービスタグのような便利な機能も、適切な検証コントロールや追加のセキュリティ対策が伴わなければ、潜在的な脆弱性につながる可能性があります。この事例は、クラウド環境におけるセキュリティの維持には、単一のツールや機能に依存するのではなく、包括的なリスク管理と継続的なセキュリティ評価が不可欠であることを示しています。
ポジティブな側面として、このような脆弱性の公開と対応は、クラウドサービスのセキュリティを強化し、顧客とサービスプロバイダー間のコミュニケーションを促進する機会を提供します。一方で、潜在的なリスクとしては、攻撃者によるこの種の脆弱性の悪用が、データ漏洩やサービスの中断など、深刻なセキュリティインシデントにつながる可能性があります。したがって、Azureを含むクラウドサービスの利用者は、セキュリティ対策の見直しと強化に継続的に取り組む必要があります。
将来的には、クラウドサービスプロバイダーと顧客が共同でセキュリティ対策を強化し、新たな脅威に迅速に対応できるようなフレームワークの構築が期待されます。また、AIや機械学習などの先進技術を活用して、セキュリティ脅威の検出と対応の自動化を進めることも、長期的な視点で重要な取り組みとなるでしょう。
from Azure Service Tags Vulnerability: Microsoft Warns of Potential Abuse by Hackers.
