【ITニュース解説】Ascensio System SIA製ONLYOFFICE ownCloud統合プラグインにおけるサーバサイドリクエストフォージェリの脆弱性

最近、Ascensio System SIAが提供するONLYOFFICEと、ファイル共有ソリューションであるownCloudを連携させるためのプラグインに、深刻なセキュリティ上の問題、いわゆる「脆弱性」が発見された。この脆弱性は「サーバサイドリクエストフォージェリ（SSRF）」と呼ばれ、悪用されるとシステム内部の情報が漏洩したり、不正な操作が行われたりする危険性がある。この件について、セキュリティ情報機関であるCERT/CCから公式な注意喚起（アドバイザリ）が発表されたので、その内容と意味を詳しく説明する。

まず、ONLYOFFICEとは何かから始める。これは、Microsoft WordやExcel、PowerPointのような文書作成、表計算、プレゼンテーション作成などのオフィス機能をウェブブラウザ上で提供するソフトウェア群だ。Google WorkspaceやMicrosoft 365のようにクラウド上で利用できるだけでなく、企業や組織が自分たちのサーバーに導入して利用することもできるのが特徴である。これにより、データの管理を自社内で行いながら、複数人でリアルタイムに文書を共同編集するといった便利な使い方が可能になる。 一方、ownCloudは、DropboxやGoogle Driveといったクラウドストレージサービスと同じように、ファイルを保存し、共有し、同期するためのソフトウェアだ。しかし、ownCloudの大きな違いは、これもまた企業や個人が自分たちのサーバーにインストールして運用できる点にある。これにより、外部のサービスにファイルを預けることなく、自社のセキュリティポリシーに沿ってデータを管理できるため、特に機密性の高い情報を扱う組織で重宝されている。 ONLYOFFICEとownCloudは、それぞれ異なる機能を持つが、両者を組み合わせることで非常に強力なコラボレーション環境を構築できる。例えば、ownCloudに保存されている文書ファイルをONLYOFFICEを使って直接ブラウザ上で開き、編集し、そのままownCloudに保存するといったスムーズな連携が可能になる。この連携を実現するのが「統合プラグイン」と呼ばれるソフトウェア部品だ。プラグインは、それぞれのソフトウェアの機能を拡張し、連携を可能にするための「つなぎ役」のようなものだと考えると良い。

今回発見された脆弱性は「サーバサイドリクエストフォージェリ」、略してSSRFと呼ばれる種類の攻撃だ。この名称を分解して見ていくと、その仕組みが理解しやすくなる。 まず「リクエスト」とは、コンピュータの世界では「要求」や「依頼」を意味する。例えば、ウェブブラウザでサイトを閲覧する際、ブラウザはウェブサーバーに対して「このページの情報を送ってほしい」というリクエストを送っている。 次に「フォージェリ」とは、「偽造」や「なりすまし」を意味する言葉だ。つまり、本物ではない、偽の情報や要求を作り出す行為を指す。 そして「サーバサイド」とは、ユーザーが操作する側のコンピュータ（クライアント）ではなく、情報を提供する側のコンピュータ（サーバー）内部での処理を指す。 これら三つの言葉を合わせると、SSRF攻撃は「悪意ある第三者が、サーバー自身に、本来意図しない偽の要求を送りつけ、それをサーバーの内部で処理させることで、何らかの不正な動作を引き起こす」という脆弱性だと言える。 具体的には、この脆弱性を持つサーバーは、外部から受け取った特定の情報に基づいて、自分自身の内部ネットワークや、そのサーバーからしかアクセスできないような別の内部システムに対して、誤ったリクエストを送信してしまう可能性がある。あたかもサーバー自身がそのリクエストを発信したかのように振る舞うため、内部のシステムはそのリクエストを正当なものとして扱ってしまうのだ。 この攻撃が悪用されると、例えば次のような被害が想定される。サーバーの内部ネットワークには、外部からは直接アクセスできないデータベースや管理ツールなどが存在することが多い。SSRFの脆弱性があると、攻撃者はこのサーバーを「踏み台」にして、本来アクセスできないはずの内部システムに対してリクエストを送り、内部の機密情報を不正に取得したり、内部の設定を勝手に変更したりすることが可能になる。サーバーが持つ信頼性を逆手に取った、非常に危険な攻撃手法だ。この脆弱性により、機密データの漏洩、システムの乗っ取り、さらには他の攻撃への足がかりとなる可能性も否定できない。

この深刻な脆弱性について、CERT/CCという組織から「アドバイザリ」が公表された。CERT/CCは、コンピュータセキュリティに関する情報収集や分析、脆弱性情報の公開、対策の推奨などを行う世界的に信頼された機関だ。彼らがアドバイザリを出すということは、この脆弱性が広く影響を及ぼす可能性があり、利用者が速やかに対応する必要があることを示している。アドバイザリは、単なる警告ではなく、問題の詳細、影響を受ける製品のバージョン、そして推奨される対策について具体的な情報を提供するものだ。 システムエンジニアを目指す皆さんにとって、このようなセキュリティ情報は非常に重要だ。普段からソフトウェアやシステムの開発、運用に携わる中で、新しい脆弱性情報に常に目を光らせ、適切に対応する能力が求められる。今回のONLYOFFICE ownCloud統合プラグインのケースであれば、開発元から提供される修正パッチやアップデートを速やかに適用することが最も効果的な対策となる。ソフトウェアは常に進化し、新たな脆弱性が見つかることは避けられない。重要なのは、そうした情報に迅速に反応し、システムの安全性を維持するための行動を継続的に取ることである。 また、システムを設計・構築する段階から、セキュリティを考慮した堅牢な設計を心がけることも極めて重要だ。今回のようなSSRF脆弱性は、外部からの入力値がサーバー内部のリソースにアクセスする際に適切に検証されていない場合に発生しやすい。入力値の厳密なチェック（サニタイズやバリデーション）、サーバー内部のネットワーク構成を考慮したアクセス制御、最小権限の原則に基づいたシステム設計など、多層的な防御策を講じることが、システムを安全に保つための基本となる。 今回のニュースは、システムエンジニアとしてセキュリティに対する深い理解と継続的な学習が不可欠であることを改めて教えてくれる事例だと言える。