Aspire Dashboardに認証回避の脆弱性、修正版あり
Aspire Dashboardの13.6.1から13.6.4に、認証なしでダッシュボードに入られる脆弱性があります。使っている組織は13.6.5に更新し、ネットワークのどこから届くかも点検してください。
急ぎ度: 早めに
CVSS v3は9.1で認証も利用者の操作も要らない一方、Microsoftは実際の悪用を確認しておらず、修正版13.6.5がすでに公開されています。
関係があるか
Aspire Dashboardを使い、版が13.6.1以上13.6.5未満の組織が対象です。ダッシュボードにネットワークで届く相手がいる環境ほど影響が大きくなります。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| Aspire Dashboard | 13.6.1以上、13.6.5未満 | 13.6.5 |
| Aspire.Dashboard.Sdk.linux-x64 | 13.6.1以上、13.6.5未満 | 13.6.5 |
確かめ方
- 1プロジェクトやコンテナーの構成で、Aspire DashboardとAspire.Dashboard.Sdk.linux-x64の版を調べます。13.6.1から13.6.4なら対象です。
- 2ダッシュボードのURLやポートが、社内の広い範囲やインターネットから届く状態になっていないかを、ファイアウォールやロードバランサーの設定で確認します。
何が起きたか
Aspire Dashboardに、ログインなしの相手が認証をすり抜けて、ダッシュボードの中身を読んだり書き換えたりできる脆弱性が見つかりました。
Microsoftは2026年11月10日に公表し、悪用は確認されておらず、公表前に詳細が公開されたこともないとしています。
原因は、必要な権限の確認が抜けていること（CWE-862、認可の欠落）です。Microsoftの説明では、なりすましが可能になるため、認証機能が回避されるおそれがあります。修正版は13.6.5です。
攻撃の流れ
-
1
ダッシュボードに到達
攻撃者がAspire Dashboardにネットワークで届く位置に立ちます。
-
2
細工した要求を送信
認証情報を持たないまま、特別に細工した要求を送ります。
-
3
認証を回避
なりすましが成立し、ログインを経ずに操作できる状態になります。
-
4
情報の閲覧と改変
機密情報を読み取り、テレメトリデータを変更または削除します。
どう悪用されるか
攻撃者に必要なのは、影響を受けるダッシュボードへのネットワークアクセスだけです。アカウントも利用者の操作も要らず、細工した要求を送るだけで認証が回避されるとMicrosoftは説明しています。
悪用に成功すると、ダッシュボードにある機密情報を読まれ、テレメトリデータを変更または削除されるおそれがあります。CVSSでも機密性と完全性への影響が高と評価され、可用性への影響はなしとされています。
今すぐやること
-
1
使っている版を確認する
Aspire DashboardとAspire.Dashboard.Sdk.linux-x64の版を調べ、13.6.1から13.6.4を使っていないか洗い出します。コンテナーで動かしている場合は、イメージのタグも見てください。
dotnet list package --include-transitive -
2
13.6.5に更新する
両方のパッケージを修正版の13.6.5に更新します。インターネットや広いネットワークから届く環境を先に進めると、リスクを早く下げられます。
-
3
ダッシュボードの到達範囲を絞る
ダッシュボードにアクセスできる送信元を、開発者や運用担当者のネットワークに限ります。更新後も、必要のない公開は閉じたままにします。
-
4
不審な動きがないか見直す
更新前の期間に、見覚えのないアクセスや、テレメトリデータの欠落・不自然な変更がなかったかを確認します。
すぐ更新できないとき
Microsoftの告知に回避策の記載はないため、基本は13.6.5への更新です。更新までのつなぎとして、ダッシュボードへのネットワーク経路を、ファイアウォールなどで信頼できる送信元だけに限っておきます。
背景
Aspire Dashboardは、.NET Aspireで作ったアプリのログ、トレース、メトリクスを一つの画面で見るためのツールです。開発中の確認に使われることが多く、運用環境に置いて障害の調査に使う組織もあります。画面には、アプリの動作を追うための記録が集まります。内容によっては、リクエストの中身や設定にまつわる情報が含まれる場合もあります。
今回の分類は、権限確認の抜けです。ダッシュボードを開く入口で認証を求める作りでも、その確認をすり抜ける経路があれば守りは意味を失います。テレメトリを読まれるだけでなく、書き換えや削除もされると、障害調査の記録そのものが信用できなくなる点が、この製品での厄介なところです。
よくある質問
Q.13.6.1より前の版を使っています。対象外と考えてよいですか。
まだ分かっていないこと
- 細工した要求の具体的な内容など、悪用の詳細は公表されていません。
- Aspire DashboardとAspire.Dashboard.Sdk.linux-x64のほかに、影響を受ける配布形態があるかどうかは公表されていません。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| パッケージ | 影響を受ける版 → 修正版 | |
|---|---|---|
| MicrosoftAspire Dashboard |
13.6.1 以上 13.6.5 未満→ 13.6.5 |
13.6.5 |
| MicrosoftAspire.Dashboard.Sdk.linux-x64 |
13.6.1 以上 13.6.5 未満→ 13.6.5 |
13.6.5 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Missing authorization in Aspire allows an unauthorized attacker to bypass a security feature over a network.
出典: Microsoft Security Response Center Blog NVD GitHub Advisory
参照URL
- web msrc.microsoft.com
- web nvd.nist.gov
- web github.com