グーグルはGoogle Cloudの脆弱性報奨金制度（Cloud Vulnerability Reward Program、Cloud VRP）を拡充し、Google Cloudの組織やプロジェクトを完全に乗っ取れる高影響の脆弱性を対象に、最大25万ドルを支払う「Root-in-Cloud」報奨枠を追加した。
事案の詳細
今回追加されたRoot-in-Cloudは、単一の機能不具合ではなく、クラウドの設計やサービス間の連携に関わる高影響のアーキテクチャ上の脆弱性を対象とする。対象には、テナント分離の回避や、複数サービスにまたがる複雑なロジックの欠陥によって、任意のGoogle Cloud組織またはプロジェクトを完全に管理できる問題が含まれる。
Google CloudのCISO（最高情報セキュリティ責任者）であるクリス・ベッツ氏によると、最高額の報奨を得るには、事前のアクセス権や特別なプロジェクト設定なしに、任意のGoogle Cloud組織またはプロジェクトに対して「roles/owner」と同等の完全な管理権限、またはIAM（Identity and Access Management）の完全な制御を実証する必要がある。Googleの本番インフラであるBorgにおけるリモートコード実行（RCE）や「Root-in-Prod」を示す有効な報告も、Cloud VRPパネルによってRoot-in-Cloudの対象として自動的に評価される。
最高額の対象となる攻撃は、被害側プロジェクトへの事前アクセス、既存の足場（foothold）、漏えい・フィッシング・窃取された認証情報、ソーシャルエンジニアリング、ユーザー操作に依存してはならない。また、Googleの本番インフラでコード実行に到達した研究者は、直ちに探索を停止する必要がある。権限昇格、本番認証情報の取得、ラテラルムーブメントは禁止され、実施した場合は失格となる。
Googleは実在する顧客プロジェクトでの検証を求めていない。代わりに、指定されたサービスアカウントに対する不正アクセスを暗号学的に証明できる「deterministic proof-of-root」の仕組みを用意している。Cloud VRPパネルは、初期侵入経路、実行コンテキスト、攻撃対象領域を分析し、任意のテナントまたはプロジェクトを完全に乗っ取れる影響があるかを判断する。
日本への影響
日本企業が基幹システムやデータ基盤をGoogle Cloud上で運用している場合、仮にGoogle Cloudの組織やプロジェクトを完全に管理できる脆弱性が見つかれば、その脆弱性は個別のサーバーにとどまらず、広範なクラウド環境に影響を及ぼす可能性がある。組織・プロジェクトの設定変更、IAM権限の悪用、サービスアカウントの不正利用などにつながるおそれがあるため、クラウド利用企業は自社の設定だけでなく、サービス提供側のセキュリティ情報も確認する必要がある。
対策・今後の展望
- 権限の棚卸し：Google Cloud IAMで「roles/owner」などの強い権限を持つアカウントを最小限にし、日常運用では必要最小限の権限を使用する。
- 特権アカウントの防御：管理者アカウントでは多要素認証を必須にし、個人用アカウントと管理用アカウントを分離する。
- 監査と検知の準備：組織・プロジェクトのIAM変更、サービスアカウント鍵の作成、重要な設定変更を検知できるよう、監査ログの確認手順を整備する。
- クラウド側の更新に追随：クラウド事業者のセキュリティ告知や脆弱性報奨金制度のルール更新を継続的に確認し、社内の運用ルールに反映する。
CSRIからのアドバイス
今回の発表は報奨金制度の拡充であり、新たな脆弱性が見つかったという話ではない。ただ、Google Cloudで将来このような重大な脆弱性が見つかれば、海外で発見されたものであっても、同じクラウド基盤を利用する日本企業が影響を受けうる。また、海外SaaSや外注先がGoogle Cloud上でサービスを運用している場合は、委託先のクラウド環境を経由して影響が及ぶこともある。
クラウドの組織管理権限を奪われる問題は、サーバー1台の侵害ではなく、入退室管理に相当する権限や、鍵に相当するサービスアカウントをまとめて操作されるリスクとして捉える必要がある。
まず、自社のGoogle Cloudで強い権限を持つアカウントとその用途を確認し、不要な権限を削除する。次に、管理者アカウントの多要素認証とアカウント分離を徹底する。最後に、IAM変更や鍵作成を誰が確認するかを決め、定期的に監査ログを確認する運用を整える。
参照: Google adds new $250,000 Cloud VRP reward for Root-in-Cloud bugs