最も機密性の高い航空データベースの一つが、簡素なWebサービス並みの脆弱な管理体制しか敷いていなかったことが明らかになりました。6月3日、Kinryū Labsはベトナムに関連するElasticsearchクラスタ内で、乗客と乗務員に関する220,783,700件という膨大な件数のレコードを発見しました。この巨大なデータの集積には、極めて機密性の高いパスポート情報、フライトの旅程、座席の割り当て、登録済み手荷物との紐付け情報が含まれていました。さらに懸念すべきことに、このデータベースは発見時点でも稼働を続けており、新しい情報の取り込みが継続していました。
流出した乗客データの詳細
「pax-info」と名付けられた侵害を受けたクラスタには、29個の異なるインデックスが含まれており、データ量にして約107ギガバイトに相当します。乗客に関するレコードが210,318,069件を占め、残りの10,465,631件が乗務員のエントリでした。なお、この220.8百万件という数字は、影響を受けた個人のユニークな総数とイコールではない点に注意が必要です。頻繁に利用する旅行者であれば、同一人物のデータがデータベース内に何度も登場する可能性があるためです。レコードは2017年1月7日から2026年4月30日まで、かなり長期間にわたっており、実に1,008の航空会社が関係していました。
個々のレコードはいずれも、氏名、生年月日、性別、国籍、パスポート番号、有効期限といった個人情報を、特定のフライトの旅程と緻密に紐付けていました。これには出発・乗り継ぎ・目的地の各空港に加え、便名、座席の割り当て、手荷物タグの情報も含まれます。この追跡システムは、乗り継ぎ客についても余すことなく把握していました。
認証メカニズムの回避
サーバーへ直接クエリを送信した場合はHTTP 401の認証エラーが適切に返される一方で、クラウド環境内部からクラスタへアクセスする別の経路が完全に無防備な状態で残されていました。ベトナムの乗客向けAPI露出について詳述した研究者らによると、この回避策をたどった後、システムは驚くべきことに変更されていないデフォルトの認証情報をそのまま受け入れたといいます。さらに、このインターフェースでは、ワンアクションでレコードをJSON形式に容易に抽出することも可能でした。こうした公開データベースをめぐる同様の重大な不備は、過去にもMongoDBインスタンスを狙った大規模な自動化攻撃を引き起こしています。
ここで重要な技術的注釈に触れておく必要があります。Kinryū Labsはこの認証情報を「工場出荷時のデフォルト」と表現していますが、その具体的な内容の公開は控えています。一方で、Elasticsearchのセキュリティ設定方法を説明する公式ドキュメントによれば、バージョン8.xではスーパーユーザーのパスワードは初回起動時に自動生成される仕様となっています。したがって、公開情報(OSINT)のみに基づく限り、この認証情報がElasticsearch本来のデフォルト設定によるものなのか、それとも当該運用者側の設定に不備があった結果なのかを断定することはできません。
漏洩元の追跡
侵害を受けたホストはハノイに所在するViettelのアドレス空間内に存在していましたが、このデータベースの最終的な所有者は依然として特定されていません。データの大部分はVietJet AirとVietnam Airlinesに関するものでしたが、Aeroflotやベラビアを含む数百の国際航空会社のデータも存在していました。こうした全体的な状況は、現在ロシアの裁判所で審理が進められている、盗まれた認証情報を通じた航空会社の乗客データの不正取得疑惑に関するSirena-Travel事件と、著しく類似しています。
翻訳元: https://meterpreter.org/vietnam-elasticsearch-passenger-leak/
