N-ableは、同社が提供するブラウザ拡張機能「Passportal」に存在した重大な脆弱性を修正しました。この脆弱性を悪用すると、悪意あるWebサイトや埋め込みiframeが長期間有効な認証トークンを窃取し、被害者の復号化されたパスワード保管庫へ永続的にアクセスできる可能性がありました。
この脆弱性はCVE-2026-15580として追跡されており、Google ChromeおよびMicrosoft Edge向けのPassportal拡張機能バージョン3.49.5に影響していました。N-ableは報告を受けてから24時間以内にバージョン3.49.6をリリースし、CVSS v4.0で9.4と評価されたこの問題を解消しています。
同拡張機能は週間アクティブユーザー数が73,000人を超えるとされています。Passportalは、マネージドサービスプロバイダー(MSP)やIT部門向けに構築された、クラウドベースのパスワード・ドキュメント管理プラットフォームです。
この点が、今回の脆弱性を特に深刻なものにしています。MSP管理者の保管庫には、特権的な認証情報や顧客インフラへのアクセス権、TOTPシークレット、さらには多数の委託先組織に関するドキュメントが含まれている可能性があるためです。
そのため、この脆弱性が悪用された場合、サプライチェーン型のリスクを生み出すことになり、MSP向けプラットフォームを狙った攻撃に見られるような大きな被害範囲につながる懸念がありました。
この問題は、Passportalのブラウザ拡張機能のメッセージング実装において発見されました。同拡張機能は、Webページのコンテンツスクリプトと、Passportalのポップオーバーiframeとの通信にwindow.postMessageを使用していました。
この手法自体が本質的に危険というわけではありませんが、メッセージの発信元、送信元ウィンドウ、リクエストのコンテキストを厳密に検証する必要があります。
しかし脆弱性のある実装では、コンテンツスクリプトが任意の発信元からの受信メッセージを信頼してしまい、攻撃者が操作可能なメッセージデータに基づいてサポート対象のメソッドを実行していました。
その結果、悪意あるサイトがwindow.postMessage({ method: "getPasswords" }, "*")のような単純なリクエストを送信するだけで、拡張機能から機密性の高いセッションデータを取得できる状態になっていました。
流出する情報には、拡張機能がPassportalのバックエンドと通信する際に使用するアクセストークンおよびリフレッシュトークンが含まれていたとされています。特定のドメインに一致する認証情報のみが漏えいする狭い範囲のオートフィル脆弱性とは異なり、この脆弱性はより広範なパスワード管理APIへのアクセスを可能にしていました。
リフレッシュトークンは最長100日間有効だったとされており、被害者が悪意あるWebページに最初にアクセスした後も長期間にわたって不正アクセスを継続できる状態でした。これにより、ブラウザ上のトークン漏えいが、長期にわたる保管庫全体の侵害シナリオへと発展する可能性がありました。
研究者らは、Passportalの復号処理の方式にもアーキテクチャ上の懸念点があると指摘しています。パスワードのリクエストはサーバー側で処理されているとみられ、バックエンドが復号済みのパスワード値とTOTPコードを拡張機能に返す仕組みになっていました。
Amibeingpwnedによると、アクセストークンには機密性の高い鍵関連情報が含まれていたとされ、その中には「organization key」および「phrase」と説明されるフィールドも存在していたということです。
JWTは完全性が保護されたコンテナであり、機密情報を秘匿するための仕組みではありません。そのため、機密性の高い暗号鍵関連の情報をトークン内に格納することは、トークン窃取が発生した際の被害を大幅に拡大させる要因となります。
N-ableが提供した修正パッチでは、機密性の高い拡張機能のメッセージが信頼できる拡張機能の発信元からのみ受け付けられるよう制御が追加されました。更新されたハンドラーは、リクエストを実行する前に送信元フレームとナンス(nonce)の検証も行うようになっています。
対応のスピードは特筆に値します。研究者らは、トークンリクエストにおける不審な挙動を最初に確認した後、7月6日にN-ableへ連絡しました。N-ableは7月8日にテスト用アカウントを提供して詳細な報告を受け取り、7月9日にはブラウザ拡張機能のアップデートを展開しています。
同社のPSIRTチームは、この脆弱性開示への迅速かつ協力的な対応を評価されています。Passportalを利用している組織は、ChromeおよびEdgeにインストールされているすべての拡張機能を、直ちにバージョン3.49.6以降へ更新する必要があります。
また、保管庫およびAPIのアクティビティを確認し、可能な場合はアクティブなセッションを無効化するとともに、脆弱性のあるバージョンが使用されていた可能性がある場合は、重要度の高い認証情報やTOTPシークレットをローテーションすることも推奨されます。
セキュリティチームに、不審なアクティビティを迅速に調査し、被害が拡大する前に脅威を封じ込めるための可視性とコンテキストを。ANY.RUNで調査を強化する
翻訳元: https://cyberpress.org/critical-n-able-passportal-bug/
