Meta は、複数のサービスにまたがって機密性の高いカスタマーサポートデータを露出させていた、アクセス制御の不備に関する重大な脆弱性への対応を完了しました。この問題は、同社の共有バックエンドインフラにおける認可処理の構造的な弱点を浮き彫りにしています。
パッチ管理ソリューション
この脆弱性は、安全でない直接オブジェクト参照(IDOR、CWE-639)に加え、アクセス制御の不備(CWE-284)および認可チェックの欠如(CWE-862)に分類されるもので、権限のないユーザーが Meta.com およびその関連プラットフォーム上のサポート関連データにアクセスし、操作することを可能にしていました。
この問題は複数の機能領域にまたがって影響を及ぼすうえ、サポートのやり取りに含まれる個人を特定できる情報(PII)が露出する恐れもあったため、リスクは非常に大きいものでした。
この脆弱性により、攻撃者は権限を持たないまま、カスタマーサポートのメール、案件記録、ライブチャットの記録、社内向けサポートメモを取得できました。
さらに、エスカレーション情報や案件の要約、添付ファイルといった機密性の高いメタデータにもアクセスできる状態でした。データを閲覧できるだけでなく、悪用の幅も広く、他組織になりすましてサポートチケットを作成したり、案件のステータスを変更したり、サポートスレッドに無許可のユーザーを購読者として追加したりすることも可能でした。
こうした行為は、Meta のサービスを利用する企業に対するソーシャルエンジニアリング、データ窃取、あるいは業務妨害につながりかねないものでした。
この問題は当初、Meta Quest のデバイスとユーザーを管理するための企業向けプラットフォームである Meta Horizon Managed Solutions のセキュリティテスト中に発見されました。
研究者らは、リクエストを送ったユーザーが適切な権限を持たない場合でも、特定の GraphQL クエリがサポート関連データを返してしまうことを確認しました。これは、バックエンドサービス全体で認可制御の適用に一貫性が欠けていたことを示しています。
WhiteAuth によるさらなる調査で明らかになったところによると、Meta.com のサポートワークフローやチャットシステムを含む複数のサポートチャネルが、信頼関係の前提に不備のある共有インフラに依存していたとのことです。
大きな要因の一つとして、サポート案件に連番の識別子が使われていたことが挙げられます。認可チェックの欠如と組み合わさることで、攻撃者は案件IDを総当たりで列挙し、大量の機密サポートデータへ組織的にアクセスできる状態になっていました。
この脆弱性は、Meta のサポートエコシステムに組み込まれた Salesforce 連携コンポーネントによってさらに深刻化していました。Salesforce 自体に脆弱性があったわけではありませんが、Meta 側の実装が連携システム全体にわたって適切にアクセス制御を適用できていなかったため、広範な攻撃対象領域が生まれていました。
当初は限定的な範囲の問題として始まったものが、複数の独立したサポートチャネルに影響を及ぼす、部門を横断した情報露出へと発展しました。これは、認可ロジックの一貫性の欠如がシステム間に波及しかねない、共有マイクロサービスアーキテクチャに伴うリスクを改めて浮き彫りにしています。
この脆弱性は、ユーザーと組織の間の分離境界を事実上崩壊させ、多くの場合、機密性の高い業務上の詳細や、氏名・メールアドレス・電話番号といったユーザーが提出した情報を含むやり取りを露出させていました。
この問題は2026年1月に Meta へ報告され、影響を受ける追加のサービスが判明するにつれて深刻度が増していきました。Meta は2026年4月に修正を完了し、実際に悪用された形跡はないことを確認しています。
同社は、影響を受けたすべてのサポートワークフローとバックエンドサービスにわたって、認可の適用を一貫させるための修正を実施しました。
この事例は、相互接続されたシステム全体で均一なアクセス制御を確保するという、現代のクラウド・API駆動型アーキテクチャに繰り返し現れるセキュリティ課題を示しています。
クラウドセキュリティサービス
認可ロジックにおけるわずかな不整合であっても、予測可能な識別子や共有インフラと組み合わさることで、重大な情報露出につながりかねません。組織にとって今回のインシデントは、認可検証の一元化、徹底的なAPIセキュリティテスト、サービス間の信頼境界に対する継続的な監視の重要性を改めて示すものとなりました。
ALERT: 20以上の政府系サイトが企業や市民にマルウェアを配布していました。 詳細な攻撃調査はこちら から確認し、自組織の露出状況をチェックしてください。
翻訳元: https://gbhackers.com/critical-meta-idor-flaw/