Rob Wright, シニアニュースディレクター, Dark Reading
2025年9月19日
読了時間：7分
出典：Robert K. Chin – Storefronts（Alamyストックフォト経由）
重大なMicrosoft認証の脆弱性により、攻撃者が世界中のほぼすべてのEntra IDテナントを侵害できた可能性があります。
この特権昇格の脆弱性（CVE-2025-55241として追跡）は、夏の間に対応され、今月初めに公開されました。この脆弱性は、当初CVSSスコア9.0を受けていましたが、今週最大値である10.0に引き上げられました。現時点で実際に悪用された形跡はありません。しかし、この脆弱性を発見した研究者によれば、この脆弱性は壊滅的な攻撃に利用される可能性があり、Azureの認証スタックの主要コンポーネント周辺のセキュリティの欠如を示しています。
オランダの情報セキュリティコンサルタントOutsider Securityの創設者でセキュリティ研究者のDirk-jan Mollema氏によると、この脆弱性はAzure AD Graph APIの認証失敗に起因しています。このサービスは今年廃止予定で、Azureクラウドリソース（Entra ID、旧Azure Active DirectoryまたはAzure ADを含む）へのアクセスを可能にするREST APIです。
Mollema氏によると、この認証失敗により、彼が発見したもう一つのセキュリティ問題「Actorトークン」を悪用できるようになります。これらの非公開トークンは、バックエンドのサービス間通信用に設計されており、アクセス制御ポリシーの対象外であり、最も重要なのは特権昇格に利用できる点です。
Azure AD Graph APIの認証脆弱性により、Mollema氏はなりすましトークンを作成し、クロステナントアクセスに利用できることを発見しました。「実質的には、自分のラボテナントでリクエストしたトークンで、任意のユーザー（グローバル管理者を含む）として、他の任意のテナントに認証できることを意味します」と、彼は水曜日に公開したブログ記事に記しています。
Actorトークンとクロステナント侵害
Mollema氏は、Black Hat USA 2025およびDEF CON 33（ラスベガス）での発表準備中の7月にこの脆弱性を発見しました。発表タイトルは「Active DirectoryからEntra IDへの高度な横移動技術」で、一部では、彼がレガシーサービス「Access Control Service」と考えるものによって生成される署名なしActorトークンの悪用方法を詳述しています。
署名なし認証トークン自体が非常に危険ですが、Mollema氏はActorトークンが「望ましいセキュリティ制御がほとんど欠如している」ため、さらにリスクが高いことを発見しました。例えば、24時間の有効期間中は失効できず、条件付きアクセスも回避し、可視性も極めて限定的です。
「Actorトークンのリクエストはログを生成しません」とMollema氏は記しています。「仮に生成されたとしても、それは被害者テナントではなく自分のテナントで生成されるため、これらのトークンの存在記録が残りません。」
Black HatおよびDEF CONの発表準備中にActorトークンをテストした際、彼はいくつかのフィールドを変更しても機能するか試しました。あるテストでは、トークンのテナントIDを自分のテストアカウントとは全く異なるテナントに変更しました。
Mollema氏のBlack Hat USA 2025およびDEF CON 33の発表スライドは、攻撃者が「Actorトークン」をどのように悪用できるかを詳細に説明しています。
Azure AD Graph経由で新しいテナントにアクセスしようとした際、Mollema氏はActorトークンが有効であることを示すエラーメッセージを受け取りましたが、そのテナント内でユーザーのIDが見つからないというものでした。その結果、彼は新しいテナントのnetID（Azure AD Graphのユーザー識別子）を見つけ、アクセスが許可されることを発見しました。
「自分がアクセスできる他のテストテナントでも何度かテストしてみましたが、やはり、テナントID（これは公開情報）と、そのテナント内のユーザーのnetIDさえ知っていれば、他のテナントのデータにアクセスできました」と彼は書いています。
netIDは公開されていませんが、Mollema氏はユーザー識別子が連番で生成されるため、ブルートフォース攻撃に脆弱であることを発見しました。さらに、Actorトークンを改変し、グローバル管理者のnetIDを推測することで、そのテナントへの無制限アクセスが可能であり、ログも一切残らないことが判明しました。
「これらのトークンにセキュリティ対策が全く施されていなかったら、これほどまでに限定的なテレメトリで大きな影響を与えることはなかったでしょう」と彼は書いています。
Entra IDの基盤にひび
Mollema氏はDark Readingに対し、Azure AD Graph APIは今年廃止予定であるものの、多くのMicrosoftアプリケーションが依然として利用していると語ります。「廃止計画がこの脆弱性に影響したとは思いませんが、廃止予定のAPIはコードや認証の“近代化”に多くのエンジニアリングリソースが割かれないでしょう」とメールで述べています。
Azure AD Graphの認証失敗がクロステナントアクセスを可能にしていますが、Mollema氏はより大きな問題はActorトークン自体であり、そもそも存在すべきではなかったと考えています。こうしたなりすましシナリオを防ぐためのOAuthトークンフローが設計されているのに、それが守られていなかったと指摘します。
「このフローでは、IDプロバイダーが署名付きトークンを発行するため、改ざんできません。また、これらのトークンが発行される際にログが生成され、少なくともある程度の監査が可能になります。これは、なりすましプロトコルに必要な重要な特性だと私は考えます」とMollema氏はDark Readingに語っています。
Mollema氏の研究は情報セキュリティコミュニティに大きな警鐘を鳴らしました。Googleのセキュリティエンジニアリング担当副社長Heather Adkins氏は、X（旧Twitter）への投稿で「これまで見た中で最悪の脆弱性の一つ」と述べています。
この脆弱性はMicrosoftのセキュリティ、特にAzureのID・アクセス管理（IAM）に対する批判も再燃させました。「Microsoftがこのなりすましトークンの仕組みを徹底的に廃止するよう、もう一度CSRB（サイバーセーフティ審査委員会）が必要だ」と、Zenity CTOのMichael Bargury氏はXへの投稿で述べています。
CSRBレポートの影
昨年、米国国土安全保障省のCSRBは、中国の国家支援型脅威アクターStorm-0558による大規模侵害を受け、Microsoftに対して厳しいレポートを発表しました。現在は解散したCSRBによるこのレポートは、Microsoftのセキュリティ体制、特にクラウドサービスに関して多くの点を批判し、同社のセキュリティ文化を「不十分」で抜本的な見直しが必要と指摘しました。
さらに、この辛辣なレポートは、MicrosoftがStorm-0558がどのようにMicrosoftアカウント（MSA）コンシューマー署名キーを盗んだのか未だに特定できていないことを指摘しました。攻撃者はこのキーを使い、20以上の顧客組織のメールアカウントを侵害しました。また、CSRBは、Microsoftが以前公開したブログ記事の内容を数か月修正しなかったことも批判しました。記事では、攻撃者がキーをMicrosoftのネットワークから盗んだとされていましたが、実際にはクラッシュダンプに誤って含まれていたことが後に判明しました。
Dark ReadingはMollema氏の研究についてMicrosoftにコメントを求めました。
Mollema氏は、CSRBレポート発表以降、Microsoftは「自社プラットフォームとシステムのセキュリティ向上に懸命に取り組んでいる」と見ていると述べています。同社は2024年にSecure Future Initiative（SFI）を発表し、詳細なレポートで指摘された問題に対応し、複数の対策を講じてセキュリティ体制を強化しています。
また、Mollema氏は自身の脆弱性報告に対するMicrosoftの迅速かつ徹底的な対応も評価しています。Black HatおよびDEF CONでの発表後、同社は追加の緩和策も展開しました。「追加の緩和策により、MicrosoftはAzure AD Graphに対するActorトークンのリクエスト自体を完全にブロックしました。つまり、仮に同APIに類似のクロステナント検証の脆弱性があっても、トークンリクエスト自体がブロックされるため悪用できず、これは多層防御として有効な緩和策です」と彼は述べています。
しかし、Mollema氏は依然として懸念を抱いています。
「この脆弱性で使われているプロトコルはAzure/Entra IDの初期から存在する可能性が高く、これは最近の問題というよりも、過去の悪いセキュリティ判断が現在に大きな影響を与えている例だと思います」と彼は述べています。「私がより懸念しているのは、Microsoftが内部で使用しているプロトコルやプロセスについて外部研究者が評価・検証できない透明性の欠如です。」