【CVE-2024-10005】ConsulとConsul Enterpriseに深刻なL7トラフィックインテンションの脆弱性、URLパスによるアクセスルールのバイパスが可能に

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約
ConsulとConsul Enterprise 1.9.0-1.20.1のURL Path Bypassの脆弱性
ConsulとConsul Enterpriseの脆弱性概要
L7トラフィックインテンションについて
ConsulとConsul Enterpriseの脆弱性に関する考察
参考サイト

記事の要約

ConsulにL7トラフィックインテンションの脆弱性が発見
URLパスを使用したアクセスルールのバイパスが可能に
バージョン1.20.1未満のConsulとConsul Enterpriseが影響対象

ConsulとConsul Enterprise 1.9.0-1.20.1のURL Path Bypassの脆弱性

HashiCorp社は2024年10月30日、ConsulとConsul Enterpriseにおいて、L7トラフィックインテンションのURLパスを使用したアクセスルールがバイパス可能な脆弱性【CVE-2024-10005】を公開した。この脆弱性は、HTTPリクエストのパスベースのアクセスルールを迂回することが可能となり、CVSSスコア8.1の深刻度の高い問題として報告されている。^[1]

影響を受けるバージョンは、ConsulとConsul Enterprise 1.9.0から1.20.1未満のすべてのプラットフォームにおける64ビット、32ビット、x86、ARM、MacOS、Windows、Linuxの各バージョンである。HashiCorp社は脆弱性の修正対応として、Consul 1.19.3、1.18.5、1.15.15などのアップデートをリリースしている。

HashiCorp社はCWE-22（パストラバーサル）に分類されるこの脆弱性について、攻撃者の必要な特権レベルは低く設定されているものの、攻撃の成功には認証情報が必要となる点を指摘している。この脆弱性により、機密性と完全性に高いレベルの影響が及ぶ可能性が指摘されているが、可用性への影響は報告されていない。

ConsulとConsul Enterpriseの脆弱性概要

項目	詳細
脆弱性ID	CVE-2024-10005
影響を受けるバージョン	1.9.0から1.20.1未満
CVSSスコア	8.1（重要）
脆弱性の種類	CWE-22（パストラバーサル）
修正済みバージョン	1.19.3、1.18.5、1.15.15

脆弱性の詳細はこちら

L7トラフィックインテンションについて

L7トラフィックインテンションとは、アプリケーションレベルでのネットワークトラフィック制御機能のことを指す。主な特徴として、以下のような点が挙げられる。

HTTPリクエストのパスベースでアクセス制御が可能
マイクロサービス間の通信ポリシーを詳細に設定可能
セキュリティとトラフィック管理を統合的に実現

ConsulのL7トラフィックインテンションでは、URLパスを使用してHTTPリクエストのアクセス制御を実装することが可能であり、マイクロサービスアーキテクチャにおける重要なセキュリティ機能として位置付けられている。今回発見された脆弱性は、このURLパスベースのアクセスルールをバイパスすることが可能となり、意図しないアクセスを許可してしまう可能性がある。

ConsulとConsul Enterpriseの脆弱性に関する考察

今回の脆弱性は、マイクロサービスアーキテクチャにおけるセキュリティの重要性を再認識させる出来事となった。L7トラフィックインテンションは、アプリケーションレベルでのアクセス制御を実現する重要な機能であり、この機能のバイパスが可能となることは、システム全体のセキュリティに深刻な影響を及ぼす可能性がある。特に、多くの企業がマイクロサービスアーキテクチャを採用している現状を考えると、早急な対応が求められる事態だろう。

HashiCorp社の素早い脆弱性の修正と、複数のバージョンでの対応は評価に値する。しかし、この種の脆弱性は、アプリケーションレベルでのセキュリティ設計の難しさを示している。今後は、URLパスだけでなく、より多層的なセキュリティメカニズムの実装や、定期的なセキュリティ監査の実施が必要になってくるだろう。

また、マイクロサービスアーキテクチャの複雑化に伴い、セキュリティの考慮事項も増加している。L7レベルでのトラフィック制御機能の重要性は今後さらに高まることが予想され、HashiCorp社にはより堅牢なセキュリティ機能の開発と、迅速な脆弱性対応の継続が期待される。将来的には、機械学習を活用した異常検知機能の追加なども検討に値するだろう。