Microsoft内部アプリケーションへのアクセスを目的としたEntra OAuthの悪用

• 研究者は、Entra OAuthの同意および権限委譲プロセスを悪用し、Microsoftの内部アプリケーションへのアクセスが可能になることを確認した。
• この脆弱性は、社内システム保護に対する新たな脅威であり、外部ユーザーが内部サービスへアクセスする経路を確保できる可能性を示している。
• 根本的な原因は、基本的な同意メカニズムと権限設定の不備にある。
• 研究の結果、既存のセキュリティ制御だけではOAuth同意リクエストおよびアクセス制御に脆弱性があることが示された。
• 企業や組織は、OAuthの同意および権限管理の強化の必要性を確認した。

---

調査概要と背景

• Microsoft Entra OAuth は、ユーザーの同意に基づいて複数のアプリケーションが異なるサービスへのアクセス権限を取得する認証・認可フレームワークです。
• 研究者は、標的環境では通常内部からのみアクセス可能なMicrosoftアプリケーションが、特定の同意および権限委譲シナリオを悪用することで外部からもアクセスできることを発見した。

原因分析

• この脆弱性は、OAuth同意要求のプロセスを悪用して発生します。
• アプリケーションが適切に制限されていない場合、攻撃者はユーザーの同意を誘導し、社内リソーストークンを取得できます。
• デフォルトで提供される同意および権限付与メカニズムが十分に細分化されていないため、一部の社内サービスは外部向けに露出するリスクを負うことになります。

影響とリスク

• 悪意のあるユーザーがこの脆弱性を利用して、Microsoft社内システムおよびアプリケーションにアクセスできる可能性があります。
• アクセスが許可された場合、機密データの流出または内部機能の悪用のリスクが存在します。

対応と推奨

• 組織はOAuth管理体制を再評価し、すべての同意および権限割り当てプロセスを厳格に統制する必要があります。
• 最小権限の原則に基づき、同意されたリソースと権限範囲を明確に制限する必要があります。
• 定期的にOAuthアプリケーション監査と同意管理プロセスを確立し、管理を強化する必要があります。