セキュリティ研究者は、N-ableのPassPortalブラウザ拡張機能に存在する重大な脆弱性を明らかにしました。この脆弱性を悪用すれば、悪意のあるWebサイトや埋め込まれたiframeが認証情報を取得し、ユーザーのパスワード保管庫を乗っ取ることが可能でした。
サイバーツールでデータを保護
この脆弱性はCVE-2026-15580として追跡されており、PassPortalバージョン3.49.5に影響し、CVSS v4.0基本値は9.4です。バージョン3.49.6で修正されました。
この欠陥により、最大100日間にわたって保管庫へのアクセスを許すアクセストークンおよびリフレッシュトークンが露出しており、73,000人を超えるアクティブユーザーに影響が及んだ可能性があります。N-ableは、脆弱性の開示を受けてから24時間以内にChromeおよびMicrosoft Edge向け拡張機能の修正版を展開しました。
N-Able PassPortal拡張機能の欠陥
問題の根本原因は、PassPortalのコンテンツスクリプトと、パスワード候補を表示するために拡張機能がホストするiframeとの間で行われる、安全性を欠いたクロスコンテキスト通信にありました。
このコンテンツスクリプトはページのメイン実行環境でwindow.postMessageイベントを監視していましたが、送信元のオリジンを検証せずに要求されたメソッドを信頼していました。
その結果、ログイン中のユーザーが訪れた任意のページが機密性の高いセッションデータを要求し、その応答を受け取ることが可能でした。研究者によれば、返される情報にはアクセストークンとリフレッシュトークンが含まれており、後者を使えば寿命の短いアクセストークンが失効した後も継続的にアクセスできたとのことです。
攻撃者はPassPortalサービス自体を侵害する必要はなく、ユーザーを攻撃者が管理するコンテンツへ誘導するだけで情報漏洩を引き起こすことができました。
PassPortalのアーキテクチャは、この脆弱性の影響をさらに増幅させていました。開示情報によれば、パスワードおよび時間ベースワンタイムパスワード(TOTP)の復号は、顧客のデバイス上だけでなくサーバー側でも行われていました。
試すサイバーセキュリティおよびペネトレーションテストツール
その結果、拡張機能は認証情報やTOTPコードの要求とともに鍵関連の情報を送信していました。研究者は、組織の鍵データとフレーズがJWTアクセストークン内にエンコードされていることを発見しました。
JSON Web Token(JWT)は完全性の保護は提供するものの、内容そのものを秘匿する仕組みは備えていないため、機密情報の露出は特に深刻な懸念材料となります。
盗み取られたトークンは、保管庫内のレコードの列挙、復号済みパスワードの取得、リアルタイムのTOTP値の取得、さらにセッションを更新してリソースへアクセスすることに悪用され得ました。結果として、影響を受けた保管庫全体に対して完全なCRUD(作成・読み取り・更新・削除)権限が得られてしまう状態でした。
この問題に対するN-ableの対応は、際立って迅速でした。Am I Being Pwnedの研究者は、自動化されたパイプラインが危険性の高いメッセージングパターンを検知したことを受け、2026年7月6日に同社へ連絡しました。
N-ableは7月8日にテストアカウントを提供し、検証および完全な報告書の提出を可能にしました。修正済みの拡張機能は7月9日、Chromeウェブストアおよび Microsoft Edgeアドオンストアで公開されました。
改訂されたメッセージハンドラーは、拡張機能自身のオリジンを算出し、検証されていないオリジンからのメッセージを拒否し、送信元が信頼できるフレームであることを確認したうえで、機密性の高いメソッドを実行する前にnonceを検証します。これらの制御により、任意のWebサイトやページが制御するiframeが拡張機能の特権的なメッセージチャネルを利用することを防止できます。
今回のインシデントは、認証情報を扱うブラウザ拡張機能が、特権的な機能を信頼できないWebコンテンツから厳格に分離する必要性を浮き彫りにしています。オリジン検証は当面の重要な防御策ではあるものの、攻撃対象領域を最小化する設計に代わるものではありません。
研究者は、window.postMessageによる通信を、ChromeやEdgeが提供する拡張機能向けメッセージング機構に置き換えることを推奨しています。その際、Webページが内部チャネルへアクセスできないよう設定する必要があるとしています。
また、サービス基盤側が平文の保管庫データを復元できるだけの情報を一切受け取らないよう、復号をクライアント側で行うエンドツーエンド暗号化を取り入れた長期的な再設計をN-ableに検討するよう強く求めました。
学ぶ高度なコンピュータサイエンスの概念
管理者にとっての優先事項は、直ちにアップデートを適用し、拡張機能のバージョンを確認したうえで、保管庫における不審な活動がないか速やかに監視することです。
調査の遅れによるインシデントを防ぎましょう。15,000のSOCから集められた脅威インテリジェンスでTier 1を強化: SOCにTI Lookupを統合する
翻訳元: https://gbhackers.com/critical-n-able-passportal-extension-flaw/
