Azure Pipelinesに認証不要のコード実行の弱点
Microsoft の Azure Pipelines に、認証なしでネットワーク越しにコードを実行されるおそれがあるコマンドインジェクションの弱点(CVE-2026-105014)が公表されました。CVSS は 9.1 で「重大」に分類されます。Azure DevOps でビルドや配備を自動化している組織は、Microsoft の告知で自社への影響と必要な対応を確認してください。
急ぎ度: 早めに
認証も利用者の操作も不要で悪用でき深刻度は高い一方、実際の攻撃での悪用が確認されたとは公表されておらず、影響する版や修正の情報もまだ確認できないためです。
関係があるか
Azure Pipelinesを使ってビルド、テスト、配備を自動化している組織が対象になりえます。自社で何をすべきかは、Microsoftの告知を確認して判断する必要があります。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| Azure Pipelines | 影響を受ける版や提供形態は公表されていません。Microsoftの告知で確認してください。 | 修正版や対処済みの版は、現時点で明らかになっていません。 |
確かめ方
- 1Azure DevOpsの組織やプロジェクトで、パイプライン（YAML形式・クラシック形式のいずれも）が使われているかを確認します。
- 2セルフホステッドエージェントや、自社運用のAzure DevOps Serverを使っていないかを洗い出します。クラウドのサービス側だけで完結するのか、利用者側の更新が必要なのかは、Microsoftの告知で確認します。
- 3Microsoft Security Response Centerの該当ページ(https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-105014)で、影響範囲と推奨される対応を確認します。
何が起きたか
Azure Pipelinesに、コマンドインジェクションと呼ばれる種類の弱点が見つかりました。外部から与えられた文字列の中の特殊な記号が正しく処理されず、本来はただのデータであるはずの入力が、コマンドとして解釈されてしまう問題です。Microsoftは、認証されていない攻撃者がネットワーク越しにコードを実行できると説明しています。
Azure Pipelinesは、ソースコードのビルドや配備を自動で行うCI/CDの仕組みです。多くの場合、配備先の認証情報や署名鍵などの機密情報を扱います。そのため、ここでコードが実行されると、影響が配備先の環境まで広がるおそれがあります。
分類はCWE-77（コマンドインジェクション）で、評価の内訳は、ネットワーク経由、低い攻撃難度、認証不要、利用者の操作不要です。影響は機密性と完全性が「高」、可用性は「なし」とされています。どの機能のどの入力処理が原因かといった細部は、公表されている内容からは分かりません。
攻撃の流れ
-
1
細工した入力
認証を持たない攻撃者が、ネットワーク越しに特殊な記号を含む入力を送ります。
-
2
処理の不備
入力中の特殊な記号が正しく無害化されず、コマンドの一部として解釈されます。
-
3
コード実行
攻撃者の意図したコードが、Azure Pipelinesの実行環境で動くおそれがあります。
-
4
情報の漏えい・改ざん
扱われる機密情報の読み取りや、ビルド成果物や設定の書き換えにつながるおそれがあります。
どう悪用されるか
悪用に必要な条件は、ネットワーク経由で到達できることだけです。事前の認証も、利用者の操作も要りません。攻撃の難度は低いと評価されており、条件がそろえば誰でも試せる状態にあたります。ただし、どの経路から到達できるのかは公表されていません。
悪用された場合の被害は、機密性と完全性への影響が中心です。パイプラインが扱うシークレット、ソースコード、ビルド成果物の漏えいや改ざんが想定されます。改ざんされた成果物が配備されると、自社の環境だけでなく、その成果物を使う顧客にも影響が及ぶおそれがあります。可用性（サービス停止）への影響は「なし」と評価されています。
実際の攻撃での悪用が確認されたという公表は、現時点ではありません。
今すぐやること
-
1
Microsoftの告知を確認する
MSRCの該当ページで、影響を受ける製品や版、利用者側の対応が必要かどうかを確認します。ページは更新されることがあるため、定期的に見直してください。
-
2
Azure Pipelinesの利用状況を洗い出す
どの組織・プロジェクトでパイプラインが動いているか、セルフホステッドエージェントやAzure DevOps Serverがあるかを一覧にします。担当者が把握していない部門利用も含めて確認します。
-
3
修正や更新が案内されたら速やかに適用する
更新の案内が出た場合は、先に重要なパイプラインから適用します。サービス側で対処済みと告知された場合は、利用者側の作業が不要かどうかも合わせて確認します。
-
4
パイプラインが扱う権限とシークレットを見直す
サービス接続やパイプライン変数に与えている権限が必要最小限かを確認します。使われていない認証情報は失効させ、万一の漏えいでも被害が広がらないようにします。
-
5
実行履歴や監査ログに不審な点がないか確認する
身に覚えのないパイプライン実行、設定変更、成果物の更新がないかを確認します。不審な点が見つかった場合は、関係するシークレットの交換を検討してください。
すぐ更新できないとき
回避策は公表されていません。修正の案内を待つ間は、パイプラインの権限とシークレットを必要最小限に絞り、監査ログを確認する運用で、被害が出る可能性と大きさを抑えます。
背景
Azure Pipelinesは、MicrosoftのAzure DevOpsに含まれるCI/CDの仕組みです。コードの変更をきっかけにビルドやテストを自動で動かし、本番環境への配備まで担います。そのため、配備先のクラウドの認証情報、署名鍵、ソースコードなど、社内でも特に守るべき情報にアクセスできる場所になりがちです。
コマンドインジェクションは、入力の検証が不十分なために、データがコマンドとして実行されてしまう古くからある種類の弱点です。ビルド基盤や管理ツールのように、強い権限を持つ仕組みで見つかると、影響が大きくなりやすい点が特徴です。
よくある質問
Q.クラウド版のAzure Pipelinesを使っているだけでも対応が必要ですか。
Q.すでに攻撃は始まっていますか。
Q.経営層にはどう説明すればよいですか。
まだ分かっていないこと
- 影響を受ける具体的な版や提供形態（クラウドのサービスか、自社運用の製品か）は公表されていません。
- 修正版や対処済みの状況、利用者側で必要な作業は、現時点で明らかになっていません。
- 実際の攻撃での悪用や、攻撃コードの公開があるかは公表されていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| Microsoft | Azure Pipelines | — | — |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Improper neutralization of special elements used in a command ('command injection') in Azure Pipelines allows an unauthorized attacker to execute code over a network.
出典: Microsoft Security Response Center Blog NVD GitHub Advisory
参照URL
- web secure@microsoft.com
- web nvd.nist.gov
- web github.com