Critical Vulnerability in Azure Bastion Let Attackers Bypass Authentication and Escalate privileges
2025/11/23 CyberSecurityNews — Azure Bastion の深刻な脆弱性 CVE-2025-49752 により、リモートの攻撃者が認証メカニズムをバイパスし、管理者レベルの権限を取得できる状況にある。この欠陥は認証バイパス脆弱性に分類され、クラウド・インフラへの安全な管理アクセスにおいて Azure Bastion に依存する組織に差し迫ったリスクをもたらすという。
ユーザー操作なしで権限昇格が可能
この脆弱性を悪用する攻撃者は、単一のネットワーク・リクエストにより管理者アクセス権を取得できる。したがって、Azure Bastion ホスト経由で接続される、すべての仮想マシンに侵害の可能性が生じる。Zeropath によると、この脆弱性は Bastion サービス内での認証トークン処理の不備に起因し、攻撃者は有効な認証資格情報を傍受して再生することでセキュリティ制御をバイパスし、管理者権限を取得できるという。
| Field | Details |
|---|---|
| CVE ID | CVE-2025-49752 |
| Vulnerability Type | Authentication Bypass (CWE-294) |
| CVSS Score | 10.0 (Critical) |
| Affected Product | Microsoft Azure Bastion (all versions prior to Nov 20, 2025) |
| Attack Vector | Network |
| Impact | Remote Privilege Escalation to Administrative Level |
脆弱性 CVE-2025-49752 は CVSS スコア 10.0 と評価されており、ユーザー操作や事前認証を必要とせずに、リモートからの悪用が可能である。したがって、攻撃者は、ネットワーク上のどこからでも、物理アクセスや特別な権限、ユーザーの関与を必要とすることなく、Bastion インフラ全体と接続された仮想マシンを侵害する可能性を得る。
2025年11月20日にセキュリティ更新プログラムが公開されているが、それ以前のすべての Azure Bastion 導入環境が脆弱である。
また、Microsoft は具体的なバージョン番号を公表していないため、この脆弱性はサービスを利用する全構成に影響する可能性がある。ユーザー組織にとって必要なことは、速やかに Azure Bastion の設定を監査し、すべてのセキュリティ・パッチの適用を確認することだと、Zeropath は指摘している。
これまでに対処されてきた脆弱性 CVE-2025-54914 や CVE-2025-29827 と同様に、2025年を通じて Azure サービスで発見された重大な認証および権限昇格の欠陥のリストに、この脆弱性も加わるものである。
Microsoft はセキュリティ開発プラクティスの改善を目的として、Secure Future Initiative を推進しているが、繰り返し発生する認証に関連する問題は、依然として Azure インフラに影響を与え続けている。
Zeropath のセキュリティ・チームが推奨するのは、この脆弱性へのパッチ適用を最優先し、管理アクセスログの包括的な監査を実施して、不正なアクティビティを検出することである。ユーザー組織にとって必要なことは、Azure Bastion 導入環境を取り巻くネットワーク・セグメンテーションとアクセス制御を見直すことである。
Azure Bastion の脆弱性は、認証トークンの扱いに存在する欠陥であり、それを悪用する攻撃者は正規の資格情報を再利用できてしまいます。この欠陥により、本来は安全な経路として利用されるべきサービスが、一度のリクエストで管理者権限まで奪われてしまう状況は、基盤サービスとして極めて深刻です。特別な操作が不要な点も影響範囲を広げていると、この記事は指摘しています。ご利用のチームは、ご注意ください。よろしければ、Azure での検索結果も、ご参照ください。
IoT OT Security News 
You must be logged in to post a comment.