Microsoft Power Pages のミスコンフィグ：深刻なデータ漏洩が発生している

Microsoft Power Pages Misconfiguration Leads to Data Exposure

2024/11/14 InfoSecurity — ローコード SaaS Web プラットフォーム Microsoft Power Pages 内のミスコンフィグにより、深刻なデータ漏洩が発生している。AppOmni の新しいブログ投稿によると、過剰なアクセス権限を付与するユーザー組織では、PII (personally identifiable information) を取り込んだ機密データが、適切な権限を持たないユーザーに公開されるリスクが生じている。

Microsoft Power Pages は、企業の Web サイト作成とデータ統合を簡素化するように設計されている。しかし、セキュリティ制御のミスコンフィグにより、従業員情報や内部ファイルなどの何百万ものレコードが、パブリック・インターネットでアクセス可能になっている。

Microsoft Power Pages の主なミスコンフィグ

Power Pages では、RBAC (role-based access control) モデルを用いて、ユーザーのアクセス・レベルが管理される。ただし、認証されていない訪問者である “Anonymous Users” や、ログインした訪問者である “Authenticated Users” などのロールに対して、過剰な権限が割り当てられると、意図しないデータ漏洩に直面する可能性が生じる。

一部の企業では、パブリックな登録が許可されているため、一般ユーザーでもあっても、それらの拡張された権限にアクセスできる。 AppOmni によると、NHS のサービス・プロバイダーが、従業員 110 万人分のデータを誤って公開していまい、自宅住所／電話番号／メール・アドレスなどが漏洩したという事例もあるという。

主なリスク要因は以下のとおりである：

• テーブル権限のミスコンフィグ、外部ユーザーに対して無制限のアクセスが許可される。
• オープンな登録の使用により、ユーザーに対して内部レベルの権限が付与される可能性がある。
• カラム・レベルのセキュリティを有効化していないため、機密情報が権限のないユーザーに表示される可能性がある。
• 機密データのマスキングが不十分であり、外部ユーザーの個人情報が不明瞭になる可能性がある。

AppOmni の Chief of SaaS Security Research である Aaron Costello は、「これらの情報の公開は、きわめて深刻なものである。Microsoft Power Pages は、金融サービス／ヘルスケア／自動車などの業界をリードする企業や、政府の機関に利用されている。それだけではなく、毎月 2億 5,000 万人以上のユーザーにより、使用されている。今回の発見が浮き彫りにするのは、SaaS アプリケーションにおけるアクセス制御のミスコンフィグがもたらす深刻なリスクである。個人情報を含む機密情報が漏洩している」と指摘している。

Power Pages のデプロイメントを保護するベスト・プラクティス

Aaron Costello は、「組織が管理する外部向け Web サイトでは、セキュリティを優先し、SaaS プラットフォームにおける利便性と安全性のバランスを取る必要がある。それらのアプリケーションは、機密性の高い企業データの大部分を保持しているため、企業ネットワークへの侵入を図る攻撃者は、そこを狙っている」と述べている。

Power Pages を使用する企業に対して強く推奨されるのは、サイト／テーブル／カラムの権限を徹底的に確認することである。つまり、階層化されたアプローチが不可欠となる。サイト・レベルのコンフィグから始めて、次にテーブルの権限に対処し、最後に機密フィールド・カラムの権限を確認する。

Power Pages のカラム・セキュリティとマスキングのオプションを使用することで、組織は漏洩を制限し、機密データを不正アクセスから保護できるようになる。さらに、Power Pages には、権限を設定する際の潜在的なリスクに関する、バックエンドでの警告が含まれている。管理者は、それらの警告に注意し、機密情報の安全性を図るために、各種の設定を調整する必要がある。

Microsoft Power Pages 内のミスコンフィグにより、深刻なデータ漏洩が発生しているとのことです。ご利用のチームは、十分に ご注意ください。Power Pages では、RBAC (role-based access control) モデルを用いて、ユーザーのアクセス・レベルが管理されるとのことですが、過剰な権限が割り当てられると、大きな問題が引き起こされるようです。よろしければ、カテゴリ MisConfiguration を、ご参照ください。