Microsoft Azure Automationサービスに存在した重大な脆弱性により、アカウントIDが公開状態になり得るデフォルト設定が原因で、テナントをまたいだID乗っ取りが可能になっていたことが判明しました。
Azure Automationは、Microsoft社内はもちろん、DevOps、リソースのデプロイ、パッチ適用、埋め込み型マネージドIDと連携したスクリプト化ランブックによるシークレットのローテーションなど、Azureを運用する企業でも広く利用されています。この脆弱性は、Microsoft Azure Networking Security Research teamのシニアセキュリティ研究者であるShay Shavit氏が昨年発見し、Microsoft Security Response Center（MSRC）に報告したもので、MSRCはセキュリティ勧告を発行しています。
Azure Automationの権限昇格の脆弱性（CVE-2025-29827）は、CVSSスコア9.9が付与されており、自身のAzure Automationアカウントへのアクセス権を持つ攻撃者が信頼境界を突破し、別テナントの自動化IDになりすますことを可能にします。これにより攻撃者は自動化スクリプトを作成・変更したり、Azure Automationアカウントに保存された機密の設定データや認証情報にアクセスしたりできるようになります。攻撃に成功すれば、組織のクラウドワークロード全体にわたってリソースを作成・変更・削除することも可能でした。
Shavit氏はDark Reading誌の取材に対し、この脆弱性が実際に悪用された事例は確認されていないと述べています。しかし同氏は、来月ラスベガスで開催されるBlack Hat USAカンファレンスでのデモにおいて、このデフォルト設定がMicrosoftとその顧客にどのようなリスクをもたらすかを実演する予定です。なお、Azure AutomationのIDに関するデフォルト設定は、現在では公開状態ではなくなっているとShavit氏は説明しています。
「当時、自動化アカウントのデフォルト設定は公開状態になっており、少なくとも私たちが悪用したエンドポイントについてはそうでした」と同氏は説明します。「そのため、この問題は少々厄介なものでした。デフォルトが公開状態であれば、当然ながら多くのアカウントに潜在的にアクセスできてしまうからです」
Shavit氏によると、彼と研究チームがAzure Automationを研究対象に選んだのは、そのアカウントが通常、特権を持つIDを保持しているためだといいます。そこでチームは、サービスとそれらのIDとの間にある信頼境界を突破することに取り組みました。一度IDの侵害に成功すれば、攻撃者は他のアカウントにもアクセスできるようになります。
「これはいわば最終局面です。十分に強力なIDを手に入れれば、その世界の王様になれるからです」と同氏は述べます。「それ以上侵害を進める必要すらありません。ポータルでもCLIでもAPIでも、やりたい放題です。実際、私たちはそれを実現できました」
デフォルト設定はすでに変更されていますが、Shavit氏は、特別な必要がない限り外部に何かを公開状態にすることは避けるべきだと組織に推奨しています。また、クラウド自動化アカウントに割り当てられたIDやトークンの範囲を監査することでも、リスクを低減できるとしています。
Shavit氏は、この脆弱性が、ささいな設定ミスとロジックの欠陥が連鎖することで、影響の大きい攻撃を可能にしてしまう典型例だと述べています。同氏によれば、今回の攻撃連鎖は3つの異なる欠陥から成り立っていました。Azure Automationアカウントを外部に公開状態にしてしまうデフォルト設定に加え、コードレベルの独立した2つのバグです。
Shavit氏の発見は、Azure Automationサービスで見つかった脆弱性としては初めてのものではありません。2021年には、Orca Securityの研究者がある欠陥を発見しており、これは共有サンドボックスサーバーからマネージドIDトークンを窃取できるというものでした。当時、Orca社はこの「AutoWarp」と名付けられた脆弱性をMicrosoft Security Response Center（MSRC）に報告しました。Microsoftは2022年3月にこの問題を公式に開示し、トークンの不正利用の証拠は検出されていないと発表しています。
Shavit氏によると、両者の脆弱性は「被害者のマネージドIDを窃取する」という点では目的が共通しているものの、攻撃連鎖の内容は異なるといいます。AutoWarpはサービスのコード実行コンポーネントを悪用してリバースシェルを確立するものでしたが、Shavit氏が発見した脆弱性はコード実行には影響しません。Orca社はAutoWarpを重大な脆弱性と位置づけていましたが、CVE識別子は付与されておらず、National Vulnerability Database（NVD）にも掲載されていません。
それでもなお、Shavit氏は今回の研究がクラウドリスクをめぐるより広範な変化を浮き彫りにしていると考えています。「クラウド環境におけるIDは、非常に重要な焦点になってきています。ひとたび侵害されれば、攻撃者に極めて多くのことを可能にしてしまうからです」と同氏は述べます。
防御側に向けて同氏は、脆弱性を単独で評価することを避け、単一の低深刻度のバグ単体ではリスクが小さいと決めつけるのではなく、それらをつなぐ攻撃経路を洗い出すべきだと提言しています。「攻撃の連鎖について考えること、攻撃経路について考えることが重要です」
