【ITニュース解説】Hackers Exploit Pandoc CVE-2025-51591 to Target AWS IMDS and Steal EC2 IAM Credentials

最近、サイバーセキュリティの世界で注目を集めているのが、ハッカーがPandocというソフトウェアの脆弱性を悪用し、Amazon Web Services（AWS）環境から機密情報を盗み出すという攻撃だ。これは、クラウド環境を利用する企業や、これからシステムエンジニアを目指す人にとって、非常に重要な教訓となるため、その内容と背景を詳しく解説する。

まず、今回の攻撃の中心となったPandocとは何か。Pandocは、さまざまな形式のドキュメントを相互に変換できる、非常に便利なオープンソースのツールだ。例えば、Markdown形式で書かれた文章をHTMLやPDF、Wordドキュメントに変換したり、その逆を行ったりできる。Linuxなどのサーバー環境で動くことが多く、Webサイトのコンテンツ生成や文書管理システムなど、多様な場所で利用されている。システムエンジニアにとって、こういったユーティリティツールは日常的に使うものであり、その利便性の高さから多くのシステムに組み込まれている。

今回の攻撃で悪用されたのは、Pandocに存在するCVE-2025-51591というセキュリティ脆弱性である。この脆弱性は「Server-Side Request Forgery（SSRF）」と呼ばれる種類の攻撃を可能にするもので、CVSSスコアは6.5と評価されている。CVSSスコアとは、脆弱性の深刻度を示す共通指標で、6.5は中程度の危険性を持つことを意味する。

SSRFとは、一体どのような攻撃なのだろうか。簡単に言うと、攻撃者がターゲットとなるサーバー（今回の場合はPandocが動いているサーバー）を踏み台にして、そのサーバー自身が内部から別のシステムやサービスに対して不正なリクエストを送信するように仕向ける攻撃手法だ。通常、サーバーは外部からのリクエストに応答するが、SSRFでは、あたかもサーバー自身が「自発的に」内部ネットワーク内の別の場所へアクセスするかのように見せかける。これにより、外部からは直接アクセスできないはずの内部システムに対して、脆弱なサーバーを経由してアクセスし、情報を引き出すことが可能になる。例えば、企業の内部ネットワークには、従業員しかアクセスできない機密情報が保存されたデータベースがあるとする。SSRF攻撃では、外部に公開されている脆弱なWebサーバーを踏み台にして、そのデータベースにアクセスさせ、情報を盗み出すといったことが起こり得る。

今回の攻撃の具体的なターゲットは、AWSの「Instance Metadata Service（IMDS）」であった。AWSのEC2（Elastic Compute Cloud）インスタンスは、クラウド上で動く仮想サーバーのことだが、このEC2インスタンスには、自分自身の情報（例えば、インスタンスID、IPアドレス、セキュリティグループの設定など）や、そのインスタンスに割り当てられた認証情報を取得するためのIMDSという特別なサービスが備わっている。IMDSは、インスタンス内部からのみアクセスできるように設計されており、外部からの直接アクセスは不可能だ。このサービスを通じて、EC2インスタンスは「IAM Credentials」、つまりAWS Identity and Access Management（IAM）によって与えられた認証情報を取得する。このIAM認証情報とは、EC2インスタンスがS3バケットへのファイルの読み書きや、DynamoDBへのデータの書き込みなど、他のAWSサービスにアクセスするために必要な一時的な「鍵」のようなものだ。

今回の攻撃は、次のような流れで進行したと考えられる。まず、攻撃者はPandocが稼働しているサーバーを見つけ出す。次に、そのPandocのSSRF脆弱性を悪用し、Pandocに、そのサーバー自身が内部にあるIMDSに対してリクエストを送信するよう指示を出す。IMDSはインスタンス内部からの正当なリクエストと認識し、Pandocが動いているサーバーに対して、そのEC2インスタンスが持つIAM認証情報を返却してしまう。結果として、攻撃者はPandocを経由して、本来は保護されているはずのEC2インスタンスのIAM認証情報を不正に入手することに成功する。この認証情報が盗まれると、攻撃者はそのEC2インスタンスが持っていたAWSの権限を完全に掌握し、クラウド環境内の他のリソースへの不正アクセスやデータ窃盗、さらにはシステム全体の乗っ取りといった、甚大な被害を引き起こす可能性がある。これは、たとえれば、建物の入り口は厳重に警備されていても、内部にあるエレベーターの制御システムに不正アクセスされ、どこへでも自由に移動できる鍵を奪われるようなものだ。

この攻撃は、単なるPandocの脆弱性だけでなく、クラウド環境におけるセキュリティの複雑さを示している。クラウドサービスは便利で強力だが、その分、内部のサービス連携や認証の仕組みを深く理解し、適切に設定・管理する必要がある。システムエンジニアを目指す皆さんにとって、この事例から学ぶべき点は多い。

まず、ソフトウェアの脆弱性は、誰もが利用する便利なツールに潜んでいる可能性があること。そして、その脆弱性がどのように連鎖的に悪用され、より大きなシステムへの侵入経路となるのかを理解することの重要性だ。定期的なソフトウェアのアップデートはもちろんのこと、システムに組み込むツール一つ一つが持つリスクを常に意識し、最新のセキュリティ情報を追う習慣を身につけることが欠かせない。

また、クラウド環境においては、「最小権限の原則」を徹底することも非常に重要だ。これは、システムやユーザーに与える権限は、そのタスクを遂行するために必要最低限のものにとどめるという考え方である。もし今回の攻撃で奪われたIAM認証情報が、必要以上に広範な権限を持っていたとすれば、被害はより深刻になっただろう。

今回のPandocの脆弱性を悪用したAWS IMDSへの攻撃は、攻撃者がシステムの内部構造を深く理解し、複数の技術的要素を組み合わせて攻撃を成功させる現代のサイバー攻撃の典型的な例である。システムエンジニアとして、単に機能を実現するだけでなく、その裏側にあるセキュリティリスクを常に考慮し、多層的な防御策を講じる視点を持つことが、今後ますます重要となるだろう。