GCP から Google Workspace への横移動と攻撃：Domain-Wide Delegation の深刻なリスク

Exposed: Hidden Risks in Google Workspace’s Domain Delegation

2023/12/01 SecurityOnline — Google Workspace の Domain-Wide Delegation 機能に深刻なリスクが潜んでいることが、Palo Alto Networks の Unit 42 研究者たちより明らかにされた。この発見は、Google Cloud Platform (GCP) から Google Workspace ドメイン・データを悪用する可能性に光を当てるものだ。進化を続けるクラウド・コンピューティングの領域において、各種のサービスで見過ごされがちな、複雑な脆弱性を浮き彫りにするものである。

この深刻なリスクは、必要とされる権限を持つ GCP ID が、委任されたユーザーのアクセス・トークンを生成できることに起因する。このシナリオは、悪意の内部関係者や、窃取した認証情報を武器化する攻撃者にとって、強力な侵入経路となる。その悪用に成功した攻撃者は Google Workspace ユーザーになりすまし、機密データへの不正アクセスや、不正な操作を行うことになる。

GCP プロジェクトで編集者権限を持つ悪意の内部開発者や外部の攻撃者たちにより、Google Workspace ドメイン全体の委譲権限を付与された、サービス・アカウントが悪用される可能性がある。このアクセス権によりユーザーになりすました攻撃者が、APIリクエストを認証し、ドメイン内に保存されているメール／ドキュメント／重要なデータなどの機密情報にアクセスし、危険にさらす可能性が生じる。

この悪用の手法は、ドメイン全体をカバーする権限委譲の悪用により容易になり、GCP から Google Workspace 環境へのアクセスを、脅威アクターに許すことにつながる。GCP から Google Workspace へ向けた横移動の機能は、これらのプラットフォーム間のシームレスな接続に依存するものであり、また、ハイリスクは統合の結果を実証している。

このリスクを軽減するためには、GCP レイヤーにおける階層的なアプローチが推奨される。このアプローチで阻止されるのは、上位レベルのパーミッションとポリシーが許可する、下位レベルのフォルダやプロジェクトへの自動的なアクセスである。この戦略により、セキュリティ侵害の危険領域を減らすことができる。つまり、通常では下位レベルのフォルダやプロジェクトへのアクセス権だけを持つ、潜在的な悪意の内部関係者による不正が防止されることになる。

この脆弱性の発覚が示唆するのは、パーミッションの設定において、関して、特にドメイン全体の委譲機能において必要な、用心深さの重要性である。この機能を悪用するために攻撃者が必要とする初期権限と、潜在的な影響のミスマッチが、クラウド環境における強固なセキュリティ対策の必要性を痛感させる。

Google Workspace の Domain-Wide Delegation 機能で確認された深刻なリスクは、クラウド・ベースのサービスの複雑さと潜在的な落とし穴を強調するものだ。それにより、ユーザー組織に対して喚起されるのは、クラウド・セキュリティの態勢の再評価および、最小権限アクセスの実施に加えて、相互接続が進むデジタル環境における、高度なサイバー脅威に対する警戒である。

どちらも Google のサービスですが、クラウド間の接続と、そこで受け渡される権限と、レイヤー間で継承される権限の、複雑さが分かる問題ですね。昨日 (11月30日) に、「Zoom Room の深刻なバグ：HackerOne で報告された SaaS の問題」という記事をポストしていますが、問題の種類は違えど、共通項は複雑さという感じがします。