「Azure」のファイアウォールにルール回避のおそれ - MSは仕様と説明

「Microsoft Azure」のファイアウォールにおいて、「Azure Service Tag」に基づくルールがバイパスされる問題が指摘されている。指摘に対してマイクロソフトは設計どおりとして脆弱性と認めておらず、正しく機能を理解して利用するようガイダンスを公開した。

「Azure」では、特定のサービスや一連のIPアドレス範囲を管理できるよう「Azure Service Tag」の機能が用意されているが、Tenableは、信頼できるサービスからのリクエストを偽造することで、「Azure Service Tag」に基づくファイアウォールルールをバイパスできるとし、脆弱性として報告した。

Tenableでは1月にマイクロソフトに報告。その後調整のもと今回の公開に至った。同脆弱性は、Azureで提供されている11サービスに影響があるとし、データの整合性と機密性への影響から重要度を「高（High）」と評価している。

報告を受けたマイクロソフトは、Tenableへ報奨金を支払う一方、調査の結果「Azure Service Tag」は設計どおりに機能していると説明。機能の見直しなどは行わず、使用方法や目的が誤解されやすいとして、ベストプラクティスなどを説明するガイダンスを公開した。

同ガイダンスで同社は、「Azure Service Tag」をセキュリティの境界として取り扱うべきではないと説明。検証による制御とあわせてルーティング機能としてのみ使用するべきであることを強調した。

（Security NEXT - 2024/06/04 ） ツイート

PR

関連記事

ランサム被害で学生の個人情報流出を確認 - 宮城学院
国勢調査でメモに使った付箋を紛失 - むつ市
白衣ポケットから盗難、被害メモに患者情報含む可能性 - 東海大病院
「Cisco ASA」狙うゼロデイ攻撃、5月に複数政府機関で確認
「MS Edge 141」がリリース - 12件の脆弱性を解消
SBI Cryptoで自己保有の暗号資産が流出 - 原因や被害など調査
「Termix」のDockerイメージにSSH認証情報が流出するおそれ
米当局、脆弱性5件の悪用に注意喚起 -10年以上前の「Shellshock」関連も
「Django」に複数の脆弱性 - 修正アップデートを公開
「Firefox」に複数脆弱性 - アップデートが公開