【ITニュース解説】Microsoft Patches Critical Entra ID Flaw Enabling Global Admin Impersonation Across Tenants

今回のニュースは、マイクロソフトが提供する重要なクラウド認証サービスであるMicrosoft Entra ID（旧称Azure Active Directory）に発見された重大な脆弱性とその対策について報じている。この事例は、認証システムの根幹とセキュリティの重要性を理解する上で極めて重要である。

まず、Microsoft Entra IDについて説明する。これは、企業や組織がクラウドサービスやオンプレミスシステムを利用する際、従業員の身元確認やリソースへのアクセス権限管理を行うアイデンティティ管理サービスである。ユーザーがシステムにログインする際の認証や、ログイン後に特定のファイルやアプリケーションへのアクセス権限を付与する認可といった機能を一元管理する。多くの企業がOffice 365やAzureなどのマイクロソフト製品を利用し、Entra IDがユーザー認証の基盤として機能するため、そのセキュリティは極めて重要となる。

今回発見された脆弱性、追跡番号CVE-2025-55241は、Entra IDにおけるトークン検証の失敗に起因する。システムでは、ユーザーが正当なアクセス権限を持つことを証明するため「認証トークン」が発行される。これは、ユーザーログイン後に受け取るデジタルな証明書のようなもので、システムはそのトークンを検証し、ユーザーの身元と権限を判断する。しかし、この脆弱性により、Entra IDが重要なトークン検証プロセスで、本来拒否すべき不正なトークンを誤って「正当なもの」として受け入れてしまう可能性があった。

この検証失敗の結果、攻撃者は正規ユーザーの認証トークンを巧妙に偽造し、システムに提示することで、そのユーザー本人であるかのように振る舞うことが可能となった。これを「なりすまし」と呼ぶ。通常のシステムでは偽造トークンは即座に拒否されるが、この脆弱性はその安全網をすり抜けることを許した。

なりすましが可能になっただけでも深刻だが、今回の脆弱性が特に危険だったのは、攻撃者が「グローバル管理者」を含む、あらゆるユーザーになりすませた点である。グローバル管理者とは、Entra ID環境で最も高い権限を持つ管理者アカウントを指す。このアカウントは、ユーザー作成、権限変更、セキュリティ設定、システム構成変更など、Entra ID環境のあらゆる設定を制御できる絶大な権限を持つ。もし攻撃者がグローバル管理者になりすますことに成功した場合、企業内の全ユーザーアカウント掌握、システム設定改ざんによるバックドア設置、機密情報窃取など、取り返しのつかない甚大な被害を引き起こす可能性があった。

さらに、この脆弱性の恐ろしさは、「テナントをまたいで」なりすましが可能であった点にある。Entra IDにおける「テナント」とは、企業や組織ごとに独立したEntra IDインスタンスを指す。ある会社のEntra ID環境は、別の会社のEntra ID環境とは完全に分離されているのが原則だ。しかし、この脆弱性では、一つのテナントに対する攻撃の足がかりから、全く別の組織のEntra IDテナント内のユーザーにもなりすませる可能性があった。これは、単一企業に留まらず、マイクロソフトのクラウドサービスを利用する複数の組織全体にわたり、広範囲なセキュリティ侵害のリスクがあったことを意味し、その影響範囲の広さと深刻度は計り知れない。

この脆弱性には、セキュリティの深刻度を示す共通脆弱性評価システム（CVSS）のスコアで最高の「10.0」が割り当てられた。CVSSスコア10.0は、脆弱性が技術的に悪用容易で、遠隔からの攻撃が可能、かつシステムへの影響が極めて深刻な場合に付与される。これは、実際に悪用された場合、データ漏洩、サービス停止、企業活動の麻痺など、壊滅的な被害が生じる可能性があったことを明確に示す。マイクロソフトはこの脆弱性を「Azure Entraにおける特権昇格の欠陥」と表現した。特権昇格とは、低い権限しか持たない攻撃者が、不正な手段を用いてより高い権限を獲得する攻撃手法であり、今回のケースでは、一般ユーザー権限からグローバル管理者権限へと昇格できる可能性があったことを指す。

幸いなことに、マイクロソフトはこの重大な脆弱性を発見し、迅速にパッチ（修正プログラム）を適用することで対策を講じた。これにより、脆弱性が実際に悪用されるリスクは大幅に低減された。しかし、今回の事例は、クラウドサービスが提供する利便性の裏側で、いかに強固な認証システムと厳格なセキュリティ対策が不可欠であるかを改めて浮き彫りにした。このような認証システムがどのように機能し、どのような脆弱性が存在しうるのかを深く理解する必要がある。認証トークンの仕組みやその検証プロセス、特権管理の原則、そして広範囲に影響を及ぼす可能性のある横断的な脆弱性への警戒は、今日のITシステムを設計・運用する上で不可欠な知識となる。常に最新のセキュリティ情報を収集し、携わるシステムの安全性を確保するための意識とスキルを磨くことの重要性を示唆する事例である。