Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

一部MSアプリで「OAuth」設定に不備 - アカウント奪取のおそれ

「Microsoft Azureアカウント」や「Microsoftアカウント」の乗っ取りに悪用されるおそれがある脆弱性が明らかとなった。すでに修正済みだという。

一部マイクロソフトアプリの「OAuth 2.0」による外部連携で、同社以外の第三者が用意したURLを無条件に信頼する問題が明らかとなったもの。同URLを用いてトークンを発行し、攻撃対象者に承認させることで、「Microsoft Azureアカウント」や「Microsoftアカウント」の乗っ取りが可能だった。

脆弱性を報告したCyberArk Softwareは「BlackDirect」と名付け、同問題を解説するウェブサイトをオープン。実証コード(PoC)を動作させた際の動画や、脆弱性の影響を受けるか確認できる機能を提供している。

CyberArkの研究者によれば、マイクロソフトのアプリでは、「OAuth 2.0」の承認要求で利用するリダイレクトURLに同社ドメインのホワイトリストを設定していたが不備があった。

一部アプリが指定するホワイトリストのサブドメインは、同社サービスを通じて誰でも取得できる状態にあり、ユーザーの許可なくそのまま信頼され、アクセストークンを発行できる状態だったという。

(Security NEXT - 2019/12/04 ) このエントリーをはてなブックマークに追加

関連リンク

PR

関連記事

「VMware ESXi」「Horizon DaaS」に深刻なRCE脆弱性
「Photoshop CC」に2件の深刻な脆弱性 - アップデートを
認証システム「Athenz」に脆弱性 - アップデートがリリース
「Chrome 79」では深刻な脆弱性2件含む51件の修正を実施
KeyWe製スマートロックに深刻な脆弱性 - 更新未対応で修正できず
MS月例パッチが公開、脆弱性35件を修正 - 一部ですでに悪用も
「ColdFusion 2018」に権限昇格の脆弱性
「Windows」ゼロデイ脆弱性、「Chrome」狙う水飲み場攻撃で悪用
「Adobe Acrobat/Reader」に複数の深刻な脆弱性 - 更新リリース
ブラウザ「Kinza」にXSS脆弱性 - 更新がリリース