Entraデバイス登録に脆弱性、Microsoft側で対応済み
Microsoft Entraのデバイス登録に、権限のない攻撃者がネットワーク経由で権限を昇格できる脆弱性があり、CVSS v3は10.0です。Microsoftがサービス側で緩和を終えており、利用組織が実行する作業はありません。
急ぎ度: 計画的に
CVSS v3は10.0ですが、Microsoftがサービス側で完全に緩和済みで、公表時点では悪用も確認されておらず、利用者が実行する作業もありません。
関係があるか
Microsoftが運営するクラウドサービスのEntraデバイス登録に関する脆弱性です。自社で更新できるソフトウェアではないため、Entraを使う組織に実行すべき作業はありません。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| Entra Device Registration | 版の区別はなく、サービス全体が対象として記録されています | Microsoftがサービス側で緩和済みです。利用者が適用する更新プログラムはありません |
確かめ方
- 1適用する版や更新プログラムは存在しないため、自社の版を調べる必要はありません
- 2Entraを使っている組織は、この件がMicrosoftによる緩和済みの案内であることを、MicrosoftのSecurity Update Guideの当該CVEのページで確認できます
- 3情報の更新があれば、同ページの改訂履歴に反映されます
何が起きたか
Entraのデバイス登録に、権限のない攻撃者がネットワーク経由で権限を昇格できる脆弱性が見つかりました。Microsoftは2026年11月5日に情報を公開しています。
種類はCWE-639で、利用者が操作できる値（キー）を使って対象を指定する処理に、認可の確認を回避できる穴があるというものです。CVSSのベクターでは、影響が元のコンポーネントの外に及ぶ評価（スコープの変更）になっています。機密性・完全性・可用性への影響はいずれも高です。
Microsoftは、この脆弱性はすでに完全に緩和済みだと説明しています。サービス側の修正で完結しているため、更新プログラムの配布や利用者向けの手順はありません。CVEを公表した目的は、透明性を高めるためとされています。
Microsoftの評価では、公表時点で悪用は確認されておらず、脆弱性の詳細も一般には公開されていません。
攻撃の流れ
-
1
ネットワーク到達
認証されていない攻撃者が、ネットワーク経由でデバイス登録のサービスにアクセスします。
-
2
キーの値を操作
利用者が制御できるキーの値を使う処理で、認可の確認が正しく働かない状態でした。
-
3
権限が昇格
本来持たない権限を得て、サービスの外にも影響が及ぶ可能性がありました。
-
4
Microsoftが緩和
Microsoftがサービス側で脆弱性を完全に緩和済みで、利用者側の作業は不要です。
どう悪用されるか
CVSSのベクターでは、攻撃元はネットワーク、攻撃の複雑さは低、必要な権限も利用者の操作もなしと評価されています。権限のない攻撃者が、ネットワーク経由で攻撃できる想定です。
悪用された場合、機密性・完全性・可用性のすべてに高い影響があり、影響がサービスの境界を越える評価でした。ただしMicrosoftによると、すでにサービス側で緩和されています。
今すぐやること
-
1
対応不要であることを確認する
Microsoftは、このサービスの利用者が実行するアクションはないと案内しています。更新プログラムの適用や設定変更は要りません。
-
2
Entraの利用状況を把握しておく
経営層や監査担当から問い合わせを受けたときに答えられるよう、自社がEntraのデバイス登録を使っているかを情シスで確認しておきます。
-
3
Microsoftの案内の更新を見る
MicrosoftのSecurity Update Guideにある当該CVEのページを、ときどき見ておきます。評価や説明が改訂された場合は、改訂履歴に載ります。
背景
Entra Device Registrationは、パソコンやスマートフォンをMicrosoft Entraに登録し、組織のデバイスとして識別する機能です。登録されたデバイスの情報は、条件付きアクセスなど、社内リソースへの接続を許可するかどうかの判断に使われます。ここで権限が昇格できると、デバイスやアカウントの信頼に関わる判断に影響しかねない、というのがCVSS 10.0の背景にあると考えられます。
CWE-639は、利用者が指定できる識別子や値で対象を選ぶ処理に、認可の確認が足りないときに生じる種類の脆弱性です。今回はクラウドサービス側の問題で、Microsoftがサービス側で緩和したため、利用組織が更新を適用する場面はありません。Microsoftはクラウドサービスの脆弱性についても、透明性の向上のためにCVEを公表する方針を示しています。
よくある質問
Q.過去に悪用されていないか、念のため調べたほうがよいですか。
まだ分かっていないこと
- 脆弱性が存在していた期間、発見の経緯、実際に影響を受けた利用組織の有無は、Microsoftの案内に書かれていません。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Authorization bypass through user-controlled key in Entra Device Registration allows an unauthorized attacker to elevate privileges over a network.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web msrc.microsoft.com
- web nvd.nist.gov
- web github.com