Azure OpenAIに重大な脆弱性、修正ビルドが公開
Azure OpenAIに、認証なしで権限を昇格できる重大な脆弱性が見つかり、このサービスを使う組織が対象です。修正ビルドが出ているので、自社のリソースが当てはまるかを調べ、利用者側の作業が要るかをMicrosoftの告知で確認してください。
急ぎ度: 早めに
CVSS v3は9.8で重大ですが、Microsoftは公表時点で悪用も一般への公開も確認しておらず、修正ビルドはすでに出ています。
関係があるか
Azure OpenAIのサービスを業務やアプリに組み込んでいる組織が対象です。社内向けのチャットやワークフローの自動化に使っている環境も含まれます。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| Azure OpenAI（Azure Open AI） | >= 1.0.0, < hyena-infra-build-official/20260923.14 | hyena-infra-build-official/20260923.14 |
確かめ方
- 1Azureのサブスクリプションごとに、Azure OpenAIのリソースがあるかを洗い出します。
- 2リソースがあれば、Microsoftの告知で、修正ビルドが自社のサービスにどう適用されるかを確かめます。
- 3自社で運用しているリソースがどのビルドかを、告知の案内に沿って確認します。
何が起きたか
Azure OpenAIの重要な機能に、認証の確認が抜けている脆弱性が見つかりました。悪用されると、本来は許されない権限を手に入れ、オーケストレーションの情報を見たり、ワークフローを書き換えたり、サービスの運用を妨げたりできます。
CVEの分類はCWE-306（重要な機能に対する認証の欠如）です。CVSSのベクターでは、機密性・完全性・可用性の3つとも影響が高と評価されています。
Microsoftは2026年11月10日に情報を公開しました。修正は、hyena-infra-build-official/20260923.14で入っています。
攻撃の流れ
-
1
到達できる状態
攻撃者が、インターネット越しに対象のAzure OpenAIサービスへ通信できる。
-
2
細工した要求
認証が必要な機能に、認証なしで細工した要求を送る。
-
3
権限の昇格
本来は持てない高い権限を手に入れる。
-
4
情報・運用への影響
オーケストレーション情報の閲覧、ワークフローの変更、サービスの妨害につながる。
どう悪用されるか
Microsoftの説明では、認証されていない攻撃者が、細工した要求をインターネット経由で対象のAzure OpenAIサービスへ送ることで悪用できます。アカウントも利用者の操作も要りません。
成功すると、オーケストレーション情報へのアクセス、ワークフローの変更、サービス運用の妨害が起こりえます。CVSSの評価では、情報の漏えい、改ざん、停止のどれも深刻な影響が見込まれています。
今すぐやること
-
1
Azure OpenAIの利用箇所を洗い出す
部門や検証用のサブスクリプションも含めて、Azure OpenAIのリソースを一覧にします。情シスが把握していない利用が見つかることもあります。
az cognitiveservices account list --query "[?kind=='OpenAI'].{name:name, group:resourceGroup, location:location}" -o table -
2
Microsoftの告知で適用状況を確認する
MSRCのこのCVEのページで、修正ビルドの適用が自社のリソースでどうなるか、利用者側に必要な作業があるかを確かめます。修正版はhyena-infra-build-official/20260923.14です。
-
3
修正が入っていることを確認する
告知の案内に沿って、自社のリソースが修正ビルドに達していることを確認します。達していない場合は、Microsoftの案内に従って更新するか、サポートに問い合わせます。
-
4
設定やワークフローの変更を見直す
悪用は確認されていませんが、被害の中身がワークフローの変更なので、心当たりのない変更がないかをアクティビティログなどで確認しておきます。
背景
Azure OpenAIは、MicrosoftがAzure上で提供する大規模言語モデルの利用サービスです。社内のチャットボットや文書の要約、業務の自動化などから呼び出され、複数の処理をつなぐワークフローの中心に置かれることがあります。
今回の脆弱性は、その運用を取りまとめる重要な機能に認証がなかったというものです。入口で身元を確かめる仕組みが抜けると、攻撃者は利用者のふりをする手間もなく機能を呼べます。そのため、被害の中身も、情報の閲覧だけでなくワークフローの変更や運用の妨害にまで及びます。
よくある質問
Q.モデルに送った社内データも読まれますか。
まだ分かっていないこと
- 利用者側に必要な作業があるかや、回避策があるかは、公表された内容からは読み取れません。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| パッケージ | 影響を受ける版 → 修正版 | |
|---|---|---|
| MicrosoftAzure Open AI |
1.0.0 以上 hyena-infra-build-official/20260923.14 未満→ hyena-infra-build-official/20260923.14 |
hyena-infra-build-official/20260923.14 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Missing authentication for critical function in Azure OpenAI allows an unauthorized attacker to elevate privileges over a network.
出典: Microsoft Security Response Center Blog NVD GitHub Advisory
参照URL
- web msrc.microsoft.com
- web nvd.nist.gov
- web github.com