「これまでで最も深刻なAI脆弱性」がServiceNowを直撃

出典：Ted Hsu / Alamy Stock Photo

ServiceNowの認証に関する問題により、任意の攻撃者がプラットフォーム全体を完全に掌握し、接続されているさまざまなシステムへアクセスできる可能性があった。

ServiceNowはフォーチュン500企業であり、同社の宣伝資料によれば、フォーチュン500の残りを構成する企業の85%に対してITサービス管理プラットフォームとして機能している。これだけでも、米国のビジネス部門にとって重大なサプライチェーンリスクとなる。さらにServiceNowは、ほとんどのベンダー以上に顧客の広範なITインフラへ深く統合されている。ServiceNowの触手は、人事、カスタマーサービス、セキュリティ、そして企業運営を支えるその他さまざまなシステムにまで及ぶ。攻撃者にとっては、横展開の理想的な足掛かりであると同時に、それ自体が機微な運用データや顧客データの宝庫でもある。

この背景は、人工知能（AI）を悪用した攻撃が極めて一般的になりつつある世界において、AppOmniのセキュリティ研究責任者であるアーロン・コステロが、今回の件を「これまでに発見された中で最も深刻なAI主導の脆弱性」と評した理由の説明に役立つかもしれない。企業のServiceNow環境に関するわずかな情報さえあれば、どんな攻撃者でも容易に侵入し、プラットフォームのネイティブAI機能を悪用して、プラットフォーム全体を乗っ取れることを彼は突き止めた。

この問題はその後修正され、ServiceNowの広報担当者はDark Readingに対し、同社として悪意ある悪用の証拠は確認していないと述べた。しかし、それは修正前に攻撃者が利用していなかったことを意味しない。脅威アクターがインフラ内部に潜伏している可能性もあるため、影響を受けた可能性のある企業は、徹底したサイバー健全性・安全性チェックを実施するのが最善だろう。 

ServiceNowのチャットボットにおける認証の問題

AIのあれこれ以前に、ServiceNowは「Virtual Agent」とシンプルに名付けた基本的なチャットボットを作成していた。これはユーザーが自然言語でタスクを実行し、問題を解決できるようにするものだ。便利なことに、ユーザーはServiceNowのインターフェース内だけでなく、たとえばSlackのような連携プラットフォームからもチャットボットを利用でき、SlackユーザーはそこからVirtual Agentと会話できる。

コステロの最初の大きな発見は、Virtual Agentのアプリケーション・プログラミング・インターフェース（API）に認証するすべてのサードパーティサービスに対して、ServiceNowが同一の認証情報を配布していたことだった。それは「servicenowexternalagent」という単純で分かりやすい文字列で、正規のサードパーティ製チャットアプリと同様にServiceNowへ接続できてしまった。

ただしVirtual Agentで意味のあることを行うには、特定のユーザーになりすます必要があった。そこでコステロの2つ目の発見が都合よく作用した。ServiceNowの観点では、ユーザーが本人であることを証明するのに必要なのはメールアドレスだけで、パスワードはおろか多要素認証（MFA）すら不要だったのだ。

実際には、攻撃者はその共通認証情報とユーザーのメールアドレス、そして標的企業のServiceNowインスタンスに関するいくつかの情報さえ知っていれば、ServiceNowに紐づくユーザーアカウントに入り込めることを意味していた。

「当然、相手のServiceNowテナントURLを知る必要があります」とコステロは説明するが、「基本的なGoogle検索やサブドメインスキャンだけでも非常に簡単に見つかります。オンラインには、文字どおり数クリックでServiceNowに関わるあらゆるドメイン、ひいてはServiceNowのすべての顧客を教えてくれるツールがたくさんあります。さらに、エクスプロイトの一部となる他の要素――たとえばエクスプロイトコードを送るAPIなど――は、すべてのServiceNowインスタンスで共通です」とも指摘する。

ServiceNowのAI機能を悪用する

攻撃者はこの情報を使ってチケットを作成したりワークフローを管理したりできるが、ServiceNowが仮想エージェントを強化したことで、事態はさらに深刻になった。仮想エージェントは、プラットフォームの最新のエージェント型AI技術「Now Assist」も利用できるようになったのだ。

この文脈では、コステロの発見はより重大な意味を持つ。たとえば、メールアドレス程度の情報しか持たない攻撃者でも、単純だが強力な自律エージェントを武器化できてしまう。具体例として、コステロは管理者レベルのユーザーになりすまし、チャットボットを使ってServiceNowの事前構築エージェントの1つを起動した。このエージェントは、ServiceNow内の任意の場所に新しいデータを作成できる。コステロはこれを使って、管理者権限を持つ自分の新規アカウントをシステム内に作成した。言うまでもなく、コステロは企業が運用する最も機微なプラットフォームの1つに対して、永続的な管理者レベルのアクセスを得たことになる。 

「これはプラットフォームと、その中にあるものが侵害されるだけではありません。別のシステムのデータがそのプラットフォームに載せられている可能性もあります」と彼は述べ、さらに「ある程度の規模の組織であれば、ServiceNowはあらゆる種類の他システムと確実に連携しています。つまりこのエクスプロイトがあれば、そこから……Salesforceへピボットしたり、Microsoftへ飛んだり、どこへでも行けるのです」と付け加える。

AppOmniは10月23日にServiceNowへ調査結果を報告した。10月30日までに、ベンダーはエクスプロイトチェーンにおける2つの主要な弱点に対処した。共通の「servicenowexternalagent」認証情報をローテーションし、コステロが管理者アカウント作成に使用したAIエージェントを削除した。

コステロは、パッチが出るたびにそれだけに頼るのではなく、「組織はAIエージェントに、プラットフォーム上の任意の場所にデータを作成するような強力な操作を実行できる権限を与えていないことを確認する必要があります。AIエージェントができることは、非常に限定的な範囲に絞るべきです。何か問題が起きた場合に備えて潜在的なリスクをすべて洗い出せているかを確認するため、レビュー・プロセスを考慮し、実装することを強く推奨します」と述べている。

さらに彼は、「コードが製品に組み込まれる前にはレビューされます。同じ考え方をAIエージェントにも適用すべきです」と指摘する。