Entra application proxyで認証不備、権限昇格のおそれ
Microsoft Entra application proxy(AAD App Proxy)に、認証が正しく行われない弱点(CVE-2026-97785)が見つかりました。認証なしでネットワーク越しに権限を引き上げられるおそれがあり、深刻度は最高の CVSS 10.0 です。社外から社内アプリにアクセスさせるためにこの機能を使っている組織は、Microsoft の告知を確認し、対応状況と利用状況を点検してください。
急ぎ度: 至急
認証も利用者の操作も不要で、外部からの到達を前提とする機能に関わるCVSS 10.0の弱点であり、利用中なら対応状況の確認を先送りできないためです。
関係があるか
Microsoft Entra ID（旧Azure AD）のアプリケーションプロキシを使い、社内のWebアプリなどをインターネット経由で利用できるようにしている組織が対象になりえます。この機能を使っていなければ、影響を受ける可能性は低いと考えられます。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| Microsoft Entra application proxy(AAD App Proxy) | 影響を受ける版や構成は公表されていません。Microsoftの告知で確認してください。 | 修正版や修正の提供方法は、現時点で明らかになっていません。Microsoftの告知で確認してください。 |
確かめ方
- 1Microsoft Entra管理センターで、アプリケーションプロキシを使うエンタープライズアプリケーションがあるかを確認します。社内向けアプリを外部公開する設定が対象です。
- 2アプリケーションプロキシ用のコネクタ（社内に設置するサーバー）が稼働しているか、どのサーバーに入っているかを一覧にします。
- 3公開しているアプリの一覧を作り、各アプリが社外のどの利用者に開放されているかを整理します。
- 4Microsoftの更新ガイド(https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-97785)で、自社の構成に必要な対応が示されているかを確認します。
何が起きたか
Microsoft Entra application proxyに、利用者が本人かどうかを確かめる処理の不備が見つかりました。認証を受けていない第三者が、ネットワーク越しに本来持たないはずの権限を得られるおそれがあります。Microsoftの更新ガイドと、NVD、GitHub Advisoryで公表されており、公開日は2026年10月23日です。
アプリケーションプロキシは、社内にあるWebアプリをVPNなしで社外から使えるようにする仕組みです。入口にあたる部分で認証の確認が不十分になると、建物の受付で身分証を見ないまま奥へ通してしまうのと同じことが起こりえます。
弱点の分類はCWE-287（不適切な認証）です。CVSS v3.1のベクターは AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N で、ネットワーク経由・低い難易度・認証不要・利用者の操作不要です。影響は脆弱な部品の外にまで及びうる評価（Scope: Changed）で、機密性と完全性への影響が高く、可用性への影響はありません。
具体的にどの処理に不備があるのかは、公表されている範囲では明らかになっていません。
攻撃の流れ
-
1
外部から到達
インターネット側から、公開されているアプリケーションプロキシの入口に接続します。
-
2
認証の不備
認証の確認が正しく行われない弱点があり、本人確認を通らずに処理が進みます。
-
3
権限が上がる
本来持たない権限を得て、通常はできない操作が可能になるおそれがあります。
-
4
内部へ影響
社内アプリや情報の閲覧・改ざんにつながるおそれがあります。
どう悪用されるか
前提条件は、攻撃者が対象の入口にネットワークから到達できることだけです。事前のログインや権限は不要で、利用者に何かを開かせる必要もありません。アプリケーションプロキシは外部からの接続を受けるための機能なので、利用している組織では、この前提が最初から満たされやすい状況にあります。
悪用された場合は、情報の漏えいと改ざんが主な被害として想定されます。影響範囲が脆弱な部品の外に及びうる評価のため、公開している社内アプリやその裏にある情報にも波及するおそれがあります。サービス停止を招く性質の弱点とは評価されていません。
実際の攻撃で悪用されたという情報は、現時点で明らかになっていません。ただし修正や対処の状況は変わりうるため、Microsoftの告知を継続して確認してください。
今すぐやること
-
1
Microsoftの告知を確認する
更新ガイドでCVE-2026-97785のページを開き、影響を受ける構成、修正の提供方法、利用者側で必要な作業の有無を確認します。クラウド側で修正される場合と、社内のコネクタの更新が必要な場合とでは、やることが変わります。
-
2
アプリケーションプロキシの利用状況を洗い出す
Microsoft Entra管理センターで、アプリケーションプロキシ経由で公開しているアプリとコネクタを一覧にします。利用していないアプリや、使われなくなったコネクタがあれば、あわせて整理します。
-
3
必要な更新を適用する
告知で更新が示されている場合は、コネクタを含む該当コンポーネントを、検証後できるだけ早く更新します。冗長化している場合は、停止を避けて順番に作業します。
-
4
ログを点検する
Entraのサインインログと監査ログ、公開アプリ側のアクセスログで、心当たりのないアクセスや権限の変更がないかを確認します。公表時点より前の分も見ておくと安全です。
-
5
公開範囲を見直す
対応が済むまでの間、本当に外部公開が必要なアプリかを確認し、不要なものは一時的に非公開にすることを検討します。
すぐ更新できないとき
回避策は公表されていません。修正の提供前に取りうる手段としては、必要性の低いアプリの公開を一時的に止める、条件付きアクセスやアクセス元の制限を強める、といったリスクを減らす対策があります。ただし、この弱点そのものを防げるかどうかは確認されていません。Microsoftの告知を優先してください。
背景
アプリケーションプロキシは、社内ネットワークにあるWebアプリを、VPNを使わずに社外の従業員や取引先へ提供するために使われます。社内に置いたコネクタがクラウド側のサービスと通信し、利用者の認証をEntra IDが担います。つまり、外部と社内の境目で本人確認を担う、守りの要の機能です。
認証の不備は、これまで多くの製品で繰り返し問題になってきた種類の弱点です。外部公開を前提とした入口や、認証・認可を担う部品で見つかると、被害が広がりやすくなります。そのため、深刻度の評価も高くなる傾向があります。
よくある質問
Q.アプリケーションプロキシを使っていなければ、対応は不要ですか。
Q.すでに攻撃に使われていますか。
Q.自分でパッチを当てる必要はありますか。
まだ分かっていないこと
- 影響を受ける版や構成、修正版の有無と提供方法は公表されていません。
- 弱点の具体的な仕組みや、どの処理に不備があるのかは明らかになっていません。
- 実際の攻撃で悪用されたかどうかや、悪用される見込みの評価は、現時点で明らかになっていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| Microsoft | Microsoft Entra application proxy | — | — |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Improper authentication in AAD App Proxy allows an unauthorized attacker to elevate privileges over a network.
出典: Microsoft Security Response Center Blog NVD GitHub Advisory
参照URL
- web secure@microsoft.com
- web nvd.nist.gov
- web github.com