【CVE-2024-25566】PingAMにオープンリダイレクトの脆弱性、フィッシング攻撃のリスクに警戒

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約
PingAMのオープンリダイレクト脆弱性
PingAM脆弱性の影響範囲まとめ
オープンリダイレクトについて
PingAMのセキュリティ対策に関する考察
参考サイト

記事の要約

PingAMにオープンリダイレクトの脆弱性が発見
不正なリダイレクトURLによるフィッシング攻撃のリスク
複数バージョンが影響を受け緊急対応が必要

PingAMのオープンリダイレクト脆弱性

Ping Identity社は、同社の認証管理ソフトウェアPingAMにおいて、オープンリダイレクトの脆弱性【CVE-2024-25566】を2024年10月29日に公開した。この脆弱性は巧妙に細工されたリクエストによってリダイレクトURLの検証が適切に行われず、攻撃者が制御するサイトへのリダイレクトを可能にする深刻な問題である。^[1]

この脆弱性は、バージョン7.5.0、7.4.0から7.4.1、7.3.0から7.3.1、7.2.0から7.2.2、7.1.0から7.1.4、さらに0から7.0.2までの広範なバージョンに影響を及ぼしている。脆弱性の深刻度はCVSS v4.0で5.1（中程度）と評価され、攻撃者は特別な権限を必要とせずに攻撃を実行できる状態だ。

SSVCの評価によると、この脆弱性の技術的影響は部分的であり、自動化された攻撃は現時点では確認されていない。しかし、攻撃に成功した場合はフィッシング攻撃の踏み台として悪用される可能性があり、ユーザーの重要な情報が漏洩するリスクが存在している。

PingAM脆弱性の影響範囲まとめ

項目	詳細
CVE番号	CVE-2024-25566
影響を受けるバージョン	7.5.0、7.4.0-7.4.1、7.3.0-7.3.1、7.2.0-7.2.2、7.1.0-7.1.4、0-7.0.2
脆弱性の種類	オープンリダイレクト（CWE-601）
CVSS評価	5.1（中程度）
攻撃条件	特権不要、ユーザー操作必要
技術的影響	部分的

PingAM脆弱性の詳細はこちら

オープンリダイレクトについて

オープンリダイレクトとは、Webアプリケーションにおける脆弱性の一種で、攻撃者が意図的に細工したURLパラメータを使用して、ユーザーを悪意のあるWebサイトへリダイレクトさせることができる問題のことを指す。主な特徴として、以下のような点が挙げられる。

正規サイトのURLを経由して攻撃を実行可能
ユーザーの信頼を悪用したフィッシング攻撃に利用
URLパラメータの不適切な検証が主な原因

PingAMの脆弱性では、リダイレクトURLの検証が不適切であることが根本的な原因となっている。攻撃者はこの脆弱性を悪用してユーザーを偽装されたログインページなどに誘導し、認証情報を窃取する可能性があるため、影響を受けるバージョンを使用している組織は早急なアップデートが推奨される。

PingAMのセキュリティ対策に関する考察

PingAMの脆弱性対応において最も評価できる点は、影響を受けるバージョンの特定と公開が迅速に行われたことだ。これにより各組織は自社環境の影響範囲を即座に把握し、対策の優先順位付けを行うことが可能になった。一方で、広範なバージョンに影響が及んでいることから、パッチ適用作業の負担が大きくなることが予想されるだろう。

今後の課題として、URLリダイレクト機能の実装における安全性の確保が挙げられる。リダイレクト先のドメインホワイトリスト管理やURLの厳密な検証ロジックの実装など、多層的な防御策の導入が必要だ。また、セキュリティテストの強化やコードレビューのプロセス改善によって、同様の脆弱性の再発を防ぐ取り組みも重要になるだろう。

認証管理ソフトウェアの重要性は今後さらに高まることが予想される。PingAMには、ゼロトラストセキュリティの実現に向けた継続的な機能強化と、脆弱性の早期発見・修正のためのセキュリティ体制の強化が期待される。また、インシデント発生時の対応手順の整備や、ユーザー組織へのサポート体制の充実も重要な課題となるはずだ。