C20/100
インシデント · 高
GMOの「お名前.com デスクトップクラウド」でAD設定のリスクを指摘
ティアC · 経過を注視 – 影響を受けるか確認
影響を受ける人： お名前.com デスクトップクラウドの全利用者の情報
ティアCの理由： 開発者に影響
影響範囲
攻撃
被害
修正
要点
- GMOインターネットが運営する「お名前.com デスクトップクラウド」について、2年前にActive Directory(AD)の設定に関するリスクが指摘されていたと報じられた
- ADを通じて全ての利用者の情報にアクセスできる状況で、リスクが高いと指摘された
- 専門家への取材から、ADの不適切な設定により生じるリスクが明らかになったとしている
なぜ重要か
Active Directoryの権限設定が強すぎると、1つの侵害で多数の利用者情報に到達しうる。ADを利用する開発者は、自社環境でも同様の設計になっていないかを確認する材料になる。
ティアの根拠となったチェックリスト
チェックリスト · 10項目中1項目が「はい」
| はい | 開発者に影響 | 法人のIT部門が業務で利用するクラウド型デスクトップサービスであるため |
| いいえ | 基幹インフラ | 単一事業者のサービスの設定問題であり、ほぼ全チームが運用する基幹ソフトではないため |
| いいえ | 人気ツール | 開発者が広く使う一般的なフレームワークやツールではなく、ニッチなサービスであるため |
| いいえ | 悪用確認済み | 日経XTECH: 2年前に指摘されたリスクとあり、攻撃が観測されたとの記述はない |
| いいえ | 公開エクスプロイト | 日経XTECH: 専門家取材によるリスクの説明のみで、エクスプロイトの公開は報じられていない |
| いいえ | 認証不要のリモート攻撃 | 日経XTECH: ADの設定によるリスクの指摘とあり、認証不要での攻撃手順は示されていない |
| いいえ | 完全な乗っ取り | 日経XTECH: 全利用者の情報にアクセスできる状況とあり、権限奪取やコード実行は報じられていない |
| いいえ | シークレットの流出 | 日経XTECH: 情報にアクセスできる状況のリスクとあり、実際の情報流出は報じられていない |
| いいえ | サプライチェーン | 日経XTECH: 配布経路や正規パッケージの侵害に関する記述はない |
| いいえ | 修正なし | 日経XTECH: 修正状況に関する記述がなく、未修正とは報じられていない |
タイムライン
日経クロステックがリスク指摘を報じる
xtech.nikkei.com
GMO、2年前指摘の弱点は「Active Directory」の設定と報道 強い権限にリスク
出典
GMO、2年前指摘の弱点は「Active Directory」の設定と報道 強い権限にリスク ↗ xtech.nikkei.com · 1時間前