MicrosoftがAzure BackupのAKS特権昇格バグを"こっそり修正"、CVEなし・公式発表なしで幕引き——研究者の異議は続く

🔴 CVEなし・公式発表なしで修正された可能性のある特権昇格脆弱性。影響範囲の把握が困難な状況が続いています。

「脆弱性は存在しない」と言いながら、修正だけは行われていた——少なくともセキュリティ研究者のOLeary氏（ハンドルネーム：@olearysec）はそう主張しています。Azure Backup for AKS（Azure Kubernetes Service）における特権昇格の脆弱性をめぐって、Microsoftと独立系研究者の間で食い違いが生じており、脆弱性の報告・開示プロセスそのものへの問いを突きつける事案となっています。

発見から「黙認」まで：何が起きたのか

OLeary氏が発見した問題の核心はシンプルです。「Backup Contributor」というAzureロール——Kubernetesに対する権限はゼロ——しか持たないユーザーが、AKSクラスター上でcluster-admin（クラスター管理者）相当の権限を取得できるというものでした。

これは正直、かなり怖い話です。Kubernetesクラスターの管理者権限を持つということは、クラスター内のすべてのワークロード・シークレット・設定にアクセスできることを意味します。Azure上のKubernetesを使って本番環境を動かしている組織は多く、影響範囲は小さくありません。

OLeary氏はMicrosoftへ報告しましたが、同社は「攻撃者はすでに管理者権限を持っている必要がある」として受理を拒否。OLeary氏はこの前提が「事実として誤っている」と反論しています。脆弱性は管理者権限を「前提とする」のではなく、管理者権限を「付与する」ものだという指摘です。

その後、CERT/CCがこの脆弱性を独自に検証し、VU#284781を割り当てたとOLeary氏は記録しています。第三者機関が「これは実在する脆弱性だ」と認めた形ですが、それでもMicrosoftの判断は変わりませんでした。

「製品変更はなかった」——Microsoftの立場

BleepingComputerの取材に対し、Microsoftは「想定された動作であり、製品への変更は行われなかった」と回答したと報じられています。

しかしOLeary氏は、報告後のある時点で問題の動作が修正されていることを確認したと記録しています。「製品変更はなかった」という公式回答と、実際の挙動の変化——この矛盾をどう解釈するかは、読者それぞれの判断に委ねるほかありません。少なくとも外部からは、この乖離に対する説明がつきにくい状況です。

CVEが発行されなかったことの実務的な影響も見逃せません。CVE番号は、組織のセキュリティ担当者がパッチ適用の優先度を判断するための基本的な手がかりです。番号がなければ、影響を受ける環境を使っている組織が「これは自分たちに関係がある」と気づく機会が失われます。Azure Backup for AKSを本番環境で使っている企業が、特権昇格リスクを認識しないまま時間が過ぎていた可能性があります。

「サイレントパッチ」問題の根深さ

クラウドサービスにおいて、ベンダーがCVEを発行せずに脆弱性を修正すること自体は珍しいことではありません。サーバーサイドで完結するSaaSやPaaSでは、ユーザー側にパッチ作業が不要なため、告知なく修正が行われることもあります。

ただ今回の件は、単なる「告知なし修正」とは少し異なります。研究者が報告し、CERT/CCが独自に検証してVU#284781を割り当て、それでも「脆弱性ではない」という立場を貫いたうえで修正が行われたとされる——という流れだからです。脆弱性報告の受理・CVE採番・開示というプロセスが、正常に機能しなかったケースとして記録に残ります。

自分ごととして考えると、もしこのバグが悪用されていたとして、攻撃者は「Backup Contributor」権限を持つアカウント一つからクラスター全体を掌握できた計算になります。マルチテナント環境やマネージドサービスを多数抱えるエンタープライズ環境では、その影響は広範囲に及んだでしょう。

透明性の問題として

CVEが発行されるケースとされないケースの基準はベンダーの裁量に委ねられており、それ自体を一概に否定するものではありません。しかし研究者とCERT/CCが「実在する脆弱性」と判断したものが記録に残らない形で閉じられていくとしたら、セキュリティコミュニティ全体の知識ベースが欠損することになります。

OLeary氏の報告は、今もブログで公開されています。CVEがなくても、記録は消えません。