Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

「Azure」のファイアウォールにルール回避のおそれ - MSは仕様と説明

「Microsoft Azure」のファイアウォールにおいて、「Azure Service Tag」に基づくルールがバイパスされる問題が指摘されている。指摘に対してマイクロソフトは設計どおりとして脆弱性と認めておらず、正しく機能を理解して利用するようガイダンスを公開した。

「Azure」では、特定のサービスや一連のIPアドレス範囲を管理できるよう「Azure Service Tag」の機能が用意されているが、Tenableは、信頼できるサービスからのリクエストを偽造することで、「Azure Service Tag」に基づくファイアウォールルールをバイパスできるとし、脆弱性として報告した。

Tenableでは1月にマイクロソフトに報告。その後調整のもと今回の公開に至った。同脆弱性は、Azureで提供されている11サービスに影響があるとし、データの整合性と機密性への影響から重要度を「高(High)」と評価している。

報告を受けたマイクロソフトは、Tenableへ報奨金を支払う一方、調査の結果「Azure Service Tag」は設計どおりに機能していると説明。機能の見直しなどは行わず、使用方法や目的が誤解されやすいとして、ベストプラクティスなどを説明するガイダンスを公開した。

同ガイダンスで同社は、「Azure Service Tag」をセキュリティの境界として取り扱うべきではないと説明。検証による制御とあわせてルーティング機能としてのみ使用するべきであることを強調した。

(Security NEXT - 2024/06/04 ) このエントリーをはてなブックマークに追加

PR

関連記事

1月のランサム被害に関するあらたな情報流出を確認 - 綜研化学
ぐんまフラワーパークの元指定管理者が個人情報を不正利用
都再委託先でランサム被害 - データにはパスワード設定
「Chrome」にアップデート - 複数の脆弱性に対応
海外子会社へのサイバー攻撃、国内サーバでも痕跡確認 - フジクラ
イベント応募フォームで設定ミス、個人情報が閲覧可能に - 松竹
メール誤送信で救命サポーターのメアド流出 - 奈良市消防局
法律相談の予定表、相談者が誤って持ち帰る - 茨城県
6月末で「CentOS 7」のサポートが終了 - 移行状況の確認を
DC内仮想マシンがランサム被害、サーバ落とすも攻撃者が起動 - KADOKAWA