Azure Managed Grafanaに重大な脆弱性、悪用未確認
Azure Managed Grafanaで、認証なしの攻撃者がサービスのアクセストークンを引き出せる脆弱性が公表されました。Azureで使っている組織は、対象かどうかを洗い出し、サービスに付与した権限と操作の記録を点検してください。
急ぎ度: 早めに
CVSS v3は9.8で認証もユーザー操作も要らない一方、KEVには載っておらず、Microsoftは悪用も公開も確認されていないとしていて、公表時点で修正済みとされているためです。
関係があるか
Azure上でAzure Managed Grafanaを使っている組織が対象です。ダッシュボードで監視データを見る用途が中心ですが、Grafanaに権限を与えている範囲が広いほど、影響も大きくなります。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| Azure Managed Grafana | 1.0.0.0以降で、2026年11月10日の公表より前のもの | 公表時点（2026年11月10日）で修正済み |
確かめ方
- 1Azureポータルで、利用中のサブスクリプションにAzure Managed Grafanaのリソースがあるかを確認します。
- 2複数のサブスクリプションを使っている場合は、すべてで確認します。部門ごとに作られたインスタンスが見落とされがちです。
- 3各インスタンスに付けたロール割り当てと、接続しているデータソースを一覧にします。トークンが悪用されたときの影響範囲は、ここで決まります。
何が起きたか
Azure Managed Grafanaに、認証なしの攻撃者がサービスのアクセストークンを外部に漏らさせることができる脆弱性が見つかりました。トークンを手に入れた攻撃者は、そのトークンに付与された権限で動けます。
Microsoftは2026年11月10日に公表しました。この時点で、悪用は確認されておらず、脆弱性の詳細も公開されていないとしています。
分類はCWE-918、サーバーサイドリクエストフォージェリ（SSRF）です。サービス側に、攻撃者が管理するシステムへ要求を送らせてしまう弱さがあり、その要求を通じてトークンが渡ります。CVSS v3は9.8で、深刻度は最高クラスの評価です。
攻撃の流れ
-
1
外部から到達
認証を持たない攻撃者が、ネットワーク経由で対象のサービスに接続します。
-
2
要求を送らせる
サービスが、攻撃者の管理するシステムへ要求を送るように仕向けられます。
-
3
トークン開示
その要求を通じて、サービスのアクセストークンが攻撃者の手に渡ります。
-
4
権限の悪用
攻撃者がトークンに付与された権限で行動し、権限昇格に至ります。
どう悪用されるか
攻撃に認証は要りません。ネットワーク越しに仕掛けられ、利用者の操作も不要です。CVSSのベクターでは攻撃の複雑さが低いとされ、特別な条件をそろえる必要はありません。一方、攻撃コードの成熟度は「未実証」とされています。
成功すると、攻撃者はサービスのアクセストークンを得て、そのトークンの権限で動けます。CVSSでは機密性・完全性・可用性のすべてが高い影響とされています。実際にどこまで届くかは、Grafanaに与えている権限の広さで変わります。監視データを読むだけの権限なら被害は情報の閲覧が中心ですが、広い権限を与えていれば範囲も大きくなります。
今すぐやること
-
1
利用中のインスタンスを洗い出す
全サブスクリプションでAzure Managed Grafanaのリソースを一覧にします。検証用に作ったまま忘れているものも含めます。
az grafana list --output table -
2
付与している権限を見直す
各インスタンスに割り当てたロールの範囲を確認し、監視に必要な最小限に絞ります。トークンが漏れた場合の被害の上限は、この権限で決まります。
-
3
操作の記録を遡って点検する
Azureのアクティビティログなどで、Grafanaに与えた権限による心当たりのない操作がないかを見ます。公表前から攻撃されていた可能性は否定できないため、遡れる範囲まで確認します。
-
4
MSRCのページを定期的に見る
Microsoftの勧告は改訂されることがあります。対応手順や影響範囲の追記がないか、しばらく確認を続けます。
背景
Azure Managed Grafanaは、Microsoftが運用するGrafanaのサービスです。Azure Monitorなどのデータを集めて、ダッシュボードで見せるために使われます。サーバーの管理を任せられる反面、複数のサブスクリプションや監視データにつなぐため、Grafana自体に広い読み取り権限を与えている構成も少なくありません。
SSRFは、サービス側に任意の宛先へ要求を送らせる種類の脆弱性です。クラウドでは、サービスが自分の身元を示すトークンを持っているため、要求の宛先を操られるとトークンの開示につながりやすくなります。今回も、被害の中心はこのトークンの漏えいと、その権限での操作です。
よくある質問
Q.自社でGrafanaを運用している場合も対象ですか。
Q.悪用が確認されていないなら、後回しでよいですか。
まだ分かっていないこと
- 利用者側で必要な作業があるかどうかは、Microsoftの記録に書かれていません。
- 修正の具体的な版番号や、適用された日時は示されていません。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
No cwe for this issue in Azure Managed Grafana allows an unauthorized attacker to elevate privileges over a network.
出典: Microsoft Security Response Center Blog NVD GitHub Advisory
参照URL
- web msrc.microsoft.com
- web nvd.nist.gov
- web github.com