Azure Synapse Spark で修正された脆弱性について

本ブログは、Vulnerability Fixed in Azure Synapse Spark の抄訳版です。最新の情報は原文を参照してください。

概要

マイクロソフトは、防御策を継続的に調査し、脆弱性を探し出し、お客様を保護するための新しい革新的な方法を模索するために、予防的なアプローチを採用しています。セキュリティ研究者はこの取り組みの重要な部分であり、サイバーセキュリティ攻撃の数と巧妙さが増し続ける世界では、協力的なパートナーシップが不可欠です。 マイクロソフトは、 マイクロソフトの製品とサービス、および、より広範なエコシステムのセキュリティ保護を支援する上で、セキュリティ研究コミュニティが果たす役割を高く評価しています。

Orca Security もその研究コミュニティの一員です。彼らは、協調的な脆弱性の公開 ( Coordinated Vulnerability Disclosure- CVD ) に基づき、2022 年 6 月 1 日 (米国時間) に Azure Synapse Spark に影響を与える特権の昇格 (EoP) 脆弱性について マイクロソフトに報告しました。 マイクロソフトは 2022 年 6 月 18 日(米国時間) に、この EoP の脆弱性を修正しました。お客様にて必要な作業はありません。

脆弱性の詳細

Azure Synapse は、管理者特権で実行される filesharemount.sh と呼ばれるスクリプトを使用して*、_Azure ファイル共有を Apache Spark プールにマウントする機能をユーザーに提供していました。このスクリプトは、ファイル共有を*/synfs _ディレクトリにマウントします。スクリプトには競合状態があり、悪用に成功した場合、ユーザーは chown コマンドを実行して、_filesharemount.sh_自体を含むディレクトリを含む任意のディレクトリの所有権を変更できます。これにより、ユーザーは root 権限で追加のコードを実行することができました。

EoP の動作は意図されたものではありませんでしたが、影響はユーザーの Spark プールのみに限定されていました。また、他の顧客のワークロードや機密性の高いシークレットへの不正アクセスは許可されていませんでした。

マイクロソフトの対応

Synapse Spark における この EoP は、次のようにして軽減されました。

1. Azure ファイル共有を Spark プールに無期限にマウントする機能を削除し、より安全な代替手段を再設計しました。
2. Synapse でファイルのマウント/マウント解除 の API を使用する方法のドキュメントを更新し、ストレージを Spark プールに安全にマウントするための代替アプローチを提供しました。

すべての製品とサービスと同様に、当初からセキュリティ強化を優先しています。
Synapse Spark の場合は、次の点を実施しています。

• 多層防御の追加レイヤーを実装

• 以下を含む異常なアクティビティをセキュリティチームに警告する検出機能を改善

  • 対話型シェル・エスカレーション

  • データ流出

  • 異常な API 呼び出し

  • 特定のコマンドラインツールの使用

• Synapse Spark が攻撃経路の可能性を列挙するために使用する主要コンポーネントのバリアント分析を実施

• 追加のエクスプロイトのためのプロアクティブなハンティングを実施し、セキュリティ境界をテストしました

Synapse Spark をさらに強化することは、製品のセキュリティを強化し、お客様を保護するための継続的な取り組みの一例です。Azure セキュリティ オファリングの詳細については、Azure セキュリティ カタログをご覧ください。

カスタマーガイダンス

繰り返しになりますが、お客様の作業は不要です。

内部調査では、これはユーザーの Spark プール内のローカル特権の昇格であり、テナント間のシナリオや、機密性の高いシークレットや顧客データの公開にはならないことが判明しています。

この脆弱性を報告し、マイクロソフトのお客様の安全を守るために、マイクロソフト セキュリティ レスポンス センター (MSRC) と共に 協調的な脆弱性の公開 ( Coordinated Vulnerability Disclosure- CVD ) に協力してくださった Orca 社に感謝します。バグ報奨金プログラムの詳細については、マイクロソフト バグ報奨金プログラムのページにアクセスし、プログラムの利用規約を確認し、最近のブログ記事「1 年間のバグ報奨金プログラム レビュー」をご参照ください。

その他の参考資料

質問がある場合には、Azure ポータル aka.ms/azsuptからサポート ケースを 開いてください。

タイムライン (米国時間)：