AzureのAPI Connectionsに5件のクロステナント侵害、報奨金は20万ドル
Azure's Weakest Link – Five Full Cross-Tenant Compromises
Azure Logic AppsのAPI Connectionsに潜む設計上の欠陥を突き、筆者は5件の完全なクロステナント侵害を達成して合計20万ドルの報奨金を得た。パストラバーサルで他テナントのKey VaultやAzure SQLへ到達でき、未公開のDynamicListなど複数のエンドポイントも同様に悪用可能。Microsoftの修正はその場しのいなブラックリスト方式で、根本原因は残ったままだ。
Consumption Logic Appには認可すべきIDが存在しない。つまり、すべてのConsumption Logic AppがすべてのVersion 1 API Connectionへ暗黙的にアクセスできるということであり、それを止めているのは何らかの入力検証だけなのだ。
HNでの議論
43- unddoch
Microsoftのセキュリティ担当の方がこれを読んでいたら、login.microsoftonline.com/XXX/v2.0/adminconsent について何とかしてもらえませんか？
このフローの最後にユーザーをリダイレクトするコールバックは、攻撃者が別の顧客のAzureテナントIDを知っていれば偽造可能です。そして、ドキュメントに「ユーザーの認証や認可にtenantパラメータのテナントID値を使わないこと」という警告を載せるのは、ユーザーを認証する方法が存在する限りにおいてのみ役に立つのです。
- meekins
クロステナントの情報漏洩の量に関して言えば、Azureは競合他社をはるかに凌いでいるように見えます。なぜ企業が今なおAzureに群がるのか不思議でなりません。
- giovanni_or2
この人はAzure開発者にとって悪夢に違いありません。これらの脆弱性を発見した素晴らしい仕事に敬意を表します！
- albert_e
そろそろ投稿に日付タグを付けるべきなのでは？
[2026-10-02]
今月の初め頃は、毎日のように複数の脆弱性が公開されていた頃の2年前のように感じられる
- thewisenerd
パストラバーサルとIDORか……
おそらくこれらの機能が登場した当初からずっと有効だったのだろう
「リソース名にランダム性を加える」という推奨はこれが理由なのかと勘繰ってしまう（無関係なセキュリティ・バイ・オブスキュリティで笑う）