Snipe-IT、無効化したユーザーがGoogle SSOで復帰、8.6.3で修正
資産管理ツールSnipe-ITの8.6.3より前の版には、無効化(退職や休止などで停止)したはずのユーザーがGoogle SSO経由で再びログインできてしまう欠陥があります。Google SSOを使い、ユーザー名がメールアドレス形式の環境が主な対象で、管理者権限のアカウントも復活し得ます。8.6.3へ更新し、無効化済みアカウントの状況を確認してください。
急ぎ度: 早めに
実際の攻撃での悪用は確認されておらず、成立条件も限られますが、成立すると退職者などが管理者権限で再びログインできるためです。
関係があるか
Snipe-ITを自社で運用し、Google SSOでログインさせている組織が対象です。特に、ユーザー名がメールアドレス形式で、退職者や休止者を「無効化」で停止している環境で影響を受けます。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| Snipe-IT(grokability/snipe-it) | 8.6.3より前のすべての版 | 8.6.3 |
確かめ方
- 1Snipe-ITの管理画面で現在の版を確認し、8.6.3より前であれば対象です。
- 2Google SSOのログインを有効にしているか、設定を確認してください。無効であれば、この経路での影響は受けません。
- 3ユーザー一覧で、無効化（activatedがオフ）のユーザーを抽出し、ユーザー名がメールアドレス形式のものがないか確認してください。
- 4該当ユーザーのGoogleアカウントが、退職後も削除や停止がされず有効なままになっていないか、Google側の管理者に確認してください。
何が起きたか
Snipe-ITは、パソコンや備品などの資産を管理するWebアプリケーションです。この製品のGoogleアカウントによるログイン（Google SSO）に、認証の確認が足りない欠陥が見つかりました。本来、無効化されたユーザーはログインできないはずですが、この欠陥があると、Googleでの認証に成功しただけでログインが通ってしまいます。
技術的には、GoogleAuthController::handleGoogleCallback が、Googleアカウントのメールアドレスと一致するユーザー名のユーザーをログインさせる際に、activated（有効かどうか）のフラグを確認していません。そのため、無効化されたユーザーでも、ユーザー名がメールアドレス形式で、対応するGoogleアカウントがまだ使える状態であれば、再びセッションを得られます。
復活するセッションは、無効化される前と同じ権限です。管理者だったユーザーであれば、管理者として戻ってきます。弱点の分類はCWE-285（不適切な認可）です。8.6.3で修正されています。
攻撃の流れ
-
1
無効化済み
退職者などのユーザーがSnipe-IT上で無効化されているが、Googleアカウントは使える状態のままである。
-
2
Google認証
そのユーザーが、Snipe-ITのGoogle SSOでログインを試み、Google側の認証に成功する。
-
3
確認の欠落
Snipe-IT側が、メールアドレスと一致するユーザー名を見つけるが、有効かどうかを確認しない。
-
4
ログイン成立
無効化されたはずのユーザーが、元の権限のままセッションを得る。
どう悪用されるか
悪用には、Snipe-ITにGoogle SSOのログインが設定されていること、対象ユーザーのユーザー名がメールアドレス形式であること、そのユーザーのGoogleアカウントがまだ使えることが必要です。攻撃者は、もとは正規のアカウントを持っていた人物（退職者や休止者など）に限られやすいと考えられます。ネットワーク経由で試行でき、ログイン画面以外での特別な操作や管理者側の操作は要りません。CVSS v3.1のベーススコアは8.1で、攻撃条件の複雑さが高いと評価されています。CVSS v4.0では9.2です。
悪用された場合、資産台帳の閲覧、改ざん、削除が可能になります。管理者権限であれば、ユーザーの追加や設定変更もできてしまいます。資産管理情報には機器の保管場所や担当者、ライセンス情報などが含まれるため、機密性、完全性、可用性のすべてに影響します。
KEV（米国CISAの悪用確認済み脆弱性カタログ）への掲載や、実際の攻撃での悪用は、現時点で明らかになっていません。EPSS（悪用される見込み）の値も公表されていません。
今すぐやること
-
1
8.6.3以降へ更新する
修正版は8.6.3です。更新前にデータベースと設定ファイルのバックアップを取り、更新手順はベンダーの告知に従ってください。
-
2
無効化済みユーザーを棚卸しする
無効化されたユーザーのうち、ユーザー名がメールアドレス形式のものを洗い出し、不要なら削除してください。特に管理者権限を持っていたものを優先します。
-
3
退職者のGoogleアカウントを確認する
退職や異動後もGoogleアカウントが有効なままになっていないかを、Google側の管理者と確認し、不要なものは停止してください。
-
4
ログイン履歴を確認する
無効化後のユーザーによるログインや、管理者操作に身に覚えのないものがないか確認してください。見つかった場合は、パスワードやAPIトークンの再発行、設定変更の有無の確認も行ってください。
すぐ更新できないとき
すぐに更新できない場合は、Google SSOのログインを一時的に無効にし、通常のID・パスワードでのログインに切り替えることが考えられます。あわせて、退職者などのGoogleアカウントを停止し、無効化済みユーザーを削除してください。公式に案内された回避策は、確認できる範囲ではありません。詳細はベンダーの告知を確認してください。
背景
Snipe-ITは、IT資産の台帳やライセンス、貸出状況を管理するために使われるオープンソースのツールです。社内の機器や担当者の情報が集まるため、管理者権限を奪われると、組織の構成が把握される足がかりになり得ます。
SSO（シングルサインオン）は、パスワードを一元管理できる便利な仕組みですが、アプリ側が「ログインしてよい人か」を最後に確認する処理を抜かすと、認証が通っただけで入れてしまいます。無効化や退職処理がアプリ側とID基盤側でずれる問題は、SSOを使う製品で繰り返し指摘されてきた種類の弱点です。例えるなら、退職者の入館証を回収せず、受付の本人確認だけで通してしまうような状態です。
よくある質問
Q.Google SSOを使っていなければ影響はありますか。
Q.無効化したユーザーを削除していれば安全ですか。
Q.Googleアカウントを停止すれば防げますか。
Q.すでに悪用されていますか。
まだ分かっていないこと
- 実際の攻撃での悪用の有無は、現時点で明らかになっていません。
- EPSS（悪用される見込み）の値は公表されていません。
- 公式の回避策の有無は、確認できていません。ベンダーの告知を確認してください。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| grokability | snipe-it |
8.6.3 未満 |
8.6.3 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Snipe-IT before 8.6.3 contains an authentication bypass in GoogleAuthController::handleGoogleCallback, which logs in the user whose username matches the Google account email without enforcing the activated flag. Deactivated users with email-shaped usernames and still-live Google identities can sign in via Google SSO and regain sessions at their original permission level, including admin.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- advisory nvd.nist.gov
- advisory github.com
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web github.com