Google Cloud、Microsoft Azureに残る「混乱した代理人」の脆弱性

世界最大級のクラウドプラットフォームが採用するマネージドID信頼チェーンには、看過できない重大な亀裂が存在し、企業や政府機関のリソースがリスクにさらされる可能性があるといいます。

これは独立系セキュリティ研究者のJustin O’Leary氏の見解です。同氏は今年初め、Microsoft AzureとGoogle Cloud Platform（GCP）の両方で「混乱した代理人（confused deputy）」の脆弱性を2件発見しました。両社に報告したにもかかわらず、いずれも脆弱性として認めず、バグ報奨金の支払いも行いませんでした。もっともMicrosoftについては、自社の欠陥をひそかに修正したとみられています。

混乱した代理人の問題は、あるプロダクトやサービスが上流のエンティティからリクエストを受け取った際に、そのリクエストの本来の発生元を保持できず、さらに外部の第三者へと転送されてしまうことで生じます。攻撃者は権限の高いエンティティを欺き、あたかも元のプロダクトやサービスから来たかのように見せかけたリクエストを受け入れさせることで、ファイアウォールなどのアクセス制御を回避できてしまいます。

計算機科学者のNorm Hardy氏がこの用語を初めて用いたのは1988年の論文でのことでした。同氏は、シリコンバレーの商用タイムシェアリング企業Tymshareのコンパイラプログラムに存在した脆弱性を、その10年以上前に発見していたのです。ITはID・アクセス管理（IAM）分野を筆頭に目覚ましい進歩を遂げてきましたが、Hardy氏の論文からおよそ40年が経った今なお、混乱した代理人の欠陥は根強く残っています。

O’Leary氏はDark Readingの取材に対し、多くの企業が悪しき慣習に陥っていることがその原因だと語ります。「この問題が今も残っているのは、大規模なクラウドインフラを構築する際、往々にして画一的な手法に頼ってしまうからだと感じています」と同氏は述べています。

Azure、GCPに存在する重大な「混乱した代理人」の欠陥

O’Leary氏によれば、これらの脆弱性は単発のバグの集まりではなく、根本的な弱点のパターンを示すものだといいます。来週開催されるBlack Hat USA 2026のオンデマンドセッション「Trust No Deputy: Breaking Azure and GCP Through Managed Identity Chains」で、Mitre社のCommon Weakness EnumerationでCWE-114として分類されているこの問題が、現代のクラウドアーキテクチャにとっていかに蔓延した課題となっているかを詳しく解説する予定です。

O’Leary氏が5月12日に公表した最初の欠陥は、MicrosoftのAzure Kubernetes Service（AKS）のバックアップサービスに関するものです。このサービスは「Trusted Access」という機能を使い、特定の割り当てられた権限を通じてバックアップボールトにAKSクラスターへのアクセス権を与えています。

しかしO’Leary氏の発見によれば、攻撃者はこの「混乱した代理人」の欠陥を悪用することで、Kubernetesの権限を一切持たない基本的なBackup Contributorレベルから、AKSに対するクラスター管理者権限にまで特権を昇格させることが可能です。このようなアクセス権を得た攻撃者は、バックアップから機密データを窃取したり、ネットワーク内の任意のクラスターに悪意あるワークロードを展開したりできます。

O’Leary氏が6月18日に公表した2件目の「混乱した代理人」の脆弱性は、GCPにおけるIAMのバイパスです。この問題は、ユーザーがKubernetes経由でGoogleのクラウドリソースを管理できるオープンソースアドオン「Config Connector」に関わるものです。O’Leary氏の調査によれば、Config ConnectorはユーザーのIDをGoogleのIAMと照合して認可を確認する処理を行っておらず、プラットフォームのアクセス制御を回避してしまいます。

同氏はブログ記事の中で次のように述べています。「Kubernetesユーザーが外部組織を参照するIAMPolicyMemberを送信した場合、Config Connectorは本来、このユーザーがこの組織に対してIAMロールを付与する権限を持っているかどうかを検証すべきです。しかし実際にはそれを行っていません。ユーザーが指定した組織IDを、自らの昇格した認証情報を使ってそのままGCP APIに渡してしまうのです」

その結果、基本的なKubernetesの名前空間へのアクセス権しか持たず、GCPの権限を一切持たない攻撃者であっても、Config Connectorを利用することで、フル管理権限を持つGCP組織オーナーの地位を瞬く間に確立できてしまいます。さらに、攻撃者の行動はサービスアカウントの活動として記録されるため、攻撃の実態が覆い隠されてしまいます。

「最も懸念すべき点は、クラウドの監査ログに攻撃者の痕跡が実際には現れないということです」と同氏は述べています。「攻撃者は事実上見えない存在になってしまうのです」

「混乱した代理人」の脆弱性を巡る開示の食い違い

O’Leary氏はこれらのバグを発見しMicrosoftとGoogleに報告した後、最終的に両社ともこれらの問題を修正が必要な脆弱性として認めないという、もどかしい状況に置かれたとDark Readingに語っています。

Azureの欠陥については、MicrosoftおよびCERT/CCとやり取りをした後、同社がどうやらサイレントパッチによってこの攻撃経路を塞いでいたことをO’Leary氏は突き止めました。

「サイレントパッチというのは、それ自体がある種の認めのようなものです」とO’Leary氏は説明し、こうしたやり方はベンダーを守るだけで、顧客が自らの露出やリスクを把握するのを難しくしていると付け加えています。

Googleのケースでは、当初は同社から前向きな反応が得られ、バグ報奨金の支給候補にも挙がっていました。しかし、その好意的な雰囲気は長くは続かず、Googleの脆弱性報奨金プログラム（VRP）パネルは最終的にこれを脆弱性とは認めないとの判断を下しました。

「修正するかもしれないとは言われましたが、報奨金の対象にはならないとのことでした」とO’Leary氏。「その言い分にはあまりに矛盾がありました」

Googleは、Config Connectorの適切な権限設定を行う責任は顧客側にあると主張しているようですが、O’Leary氏はこれが論点をはき違えていると指摘します。問題の本質は、このコネクタが特定の対象に対してユーザーがそうした権限を要求する資格を持っているかどうかを検証しない点にあり、Googleにはこの悪用を防ぐ手立てがないというのです。

O’Leary氏は、Config ConnectorがFedRAMP認証を受けたGCP環境を含め、多くの大企業や政府機関で導入されていると指摘した上で、Googleによるこのツールのドキュメントは「混乱した代理人」攻撃のリスクを十分に伝えていないと述べています。

O’Leary氏によれば、「混乱した代理人」の問題を抱えているのはGoogleとMicrosoftに限った話ではなく、他の主要クラウドプロバイダーが提供する同種のコネクタにも同じことが言えるといいます。また、認証情報のスコープを適切に絞り込み、信頼境界を分離することで、顧客側のクラウド環境における「混乱した代理人」リスクを低減できるとも付け加えています。

「これは構造的な問題だと考えています」と同氏は述べています。