MastercardのDNS設定ミス、長年見過ごされる

 (krebsonsecurity.com)
1 ポイント 投稿者 GN⁺ 2025-01-23 | 1件のコメント | WhatsAppで共有

  • MastercardのDNS設定ミス

    • Mastercardはドメインネームサーバー設定の誤りを修正した。
    • この誤りにより、未使用のドメイン名を登録してインターネットトラフィックを傍受または迂回できる状態になっていた。
    • この問題は約5年間続いており、セキュリティ研究者が300ドルをかけてドメインを登録し、サイバー犯罪者による悪用を防いだ。

  • 問題の発見と解決の経緯

    • 2025年1月14日、az.mastercard.com ドメインのDNSルックアップで、誤ったドメイン名 a22-65.akam.ne が見つかった。
    • MastercardはAkamaiのDNSサーバーを使用しており、すべてのサーバー名は akam.net で終わるべきだが、1つのサーバーが誤って akam.ne に設定されていた。
    • セキュリティコンサルタントのPhilippe Caturegliがこの誤りを発見し、akam.ne ドメインを登録して問題に対処した。

  • 潜在的なリスクと対応

    • Caturegliは akam.ne ドメインにDNSサーバーを設定した後、世界中から数十万件のDNSリクエストを受信した。
    • メールサーバーも設定していれば、Mastercard.com や他の影響を受けたドメイン宛てのメールを受信できた可能性があった。
    • CaturegliはMastercardにこの問題を通知し、同社がそのドメインを引き継げるようにした。

  • Mastercardの反応

    • Mastercardは、この誤りはシステムセキュリティへの脅威にはならなかったと主張した。
    • Bugcrowdを通じて、CaturegliはLinkedInの投稿を削除してほしいという要請を受けた。
    • Caturegliは、Bugcrowd経由で問題を報告したのではなく、悪用防止のためにドメインを登録したのだと説明した。

  • DNSサーバーの重要性

    • ほとんどの組織は、少なくとも2台の権威DNSサーバーを保有している。
    • Mastercardは5台のDNSサーバーを使っており、1つのドメインだけを制御しても、見られるDNSリクエストは全体の約5分の1にとどまる。
    • Caturegliは、パブリックトラフィックフォワーダーやDNSリゾルバーを使う利用者が多いため、1つのリゾルバーが誤った結果をキャッシュすると、さらに多くのトラフィックを迂回させられると説明した。

  • Caturegliの追加コメント

    • Caturegliは、Mastercardが感謝を示すか、少なくともドメイン購入費用を補償すると期待していた。
    • Mastercardの公開声明に対しては、LinkedIn上でDNSルックアップの記録を共有しつつ反論した。

  • その他の関連情報

    • akam.ne ドメインは2016年12月に初めて登録され、2018年に失効した。
    • 類似のタイプミスドメイン awsdns-06.ne もYandexユーザーによって登録され、ドイツのISPでホスティングされていた。

関連記事

1件のコメント

 
GN⁺ 2025-01-23
Hacker Newsの意見

  • 研究に関する意見として、公開登録可能なネームサーバーはまれなケースであり、クラウドプロバイダーのIPアドレスに直接マッピングされるほうが一般的

    • クラウドサービスの範囲の広さと可視性の低さにより、企業はサブドメインに脆弱性を抱えている可能性が高い
    • バグバウンティプログラムでは、サブドメイン乗っ取りを有効なセキュリティ脅威として認めないことが多い
    • このような構成管理ミスにより機密情報が漏えいした事例がある
    • 現在の脆弱性開示の環境は、企業が脆弱性を認めないままでいられやすくしている
    • このような脆弱性はTLS証明書の発行に悪用される可能性がある

  • Bugcrowdに関する話は予想外の内容

    • Bugcrowdがプラットフォーム外での行動を規制しようとしているか、あるいは Mastercard が Bugcrowd の従業員を装っている可能性がある
    • どちらの選択肢も望ましくない

  • セキュリティ研究者が、より多くの証拠を集めるためにさらに深く侵入する可能性がある

    • 研究者に十分な報酬を提供し、影響が矮小化されるようにすべき
    • 研究者を抑え込もうとする試みは、判断を誤ったPR担当者の行動かもしれない

  • akam.ne ドメインは過去に登録されたことがあり、類似のタイプミスドメインが登録された事例がある

    • これらのドメインはドイツのインターネットサーバーに接続されていた

  • ウクライナで MasterCard の SSL証明書が期限切れとなり、オンライン取引に問題が発生した

    • 証明書は更新されず、サービスはひっそりと停止した

  • MasterCard のミスにより、元のTLDと1文字違いのドメインで問題が発生しうる

    • このようなドメインが存在しなければ、誤ったDNSリクエストは発生しないはず

  • Vercel を利用しているベンダーのドメイン変更により、セキュリティ事故が発生した

    • ドメインがプールに戻った直後に攻撃者がそれを取得し、マルウェアを配布した

  • ドメイン名は Akamai に渡すべきであり、Akamai にはこれを処理する責任がある

  • MasterCard 以外にも、カナダの銀行や Canada Post でも同様の問題が発生した

    • Canada Post は問題を解決したが、銀行は一度解決した後に再発させた