Access Control: Azure

ユーザーが制御する値を持ち、適切なアクセス制御がされていない Azure Queue/Blob にアクセスすると、攻撃者が権限のない Queue/Blob やそのメッセージ/内容を参照/変更/削除できることになる可能性があります。

次の場合には、Azure Cloud アクセス制御エラーが発生します。

1. 信頼できないソースからデータがプログラムに入り込んだ場合。


2. 権限のないキュー/blob やそのメッセージ/内容を参照/変更/削除するためにデータが使用された場合。
例 1: 次のコードは、指定されたキューとそのメッセージを削除します。

    ...
    var queueName = queryStringData['name'];
    var queueSvc;
    queueSvc = azureStorage.createQueueService();
    ...
    queueSvc.deleteQueue(queueName, option, function(error, response){
      if(!error){
          // all the messages has been deleted
      }
    });
    ...
    

例 2: 次のコードは、指定された blob コンテナとその内容を削除します。

    ...
    var containerName = queryStringData['name'];
    var blobSvc;
    blobSvc = azureStorage.createBlobService();
    ...
    blobSvc.deleteContainer(containerName, function (error, response) {
      if (!error) {
          // all the content in the given container has been deleted
      }
    });
    ...
    

Example 1 とExample 2 のコードは、現在のユーザー/プログラムに属する指定されたキュー/blob コンテナとそのメッセージ/内容を削除していますが、攻撃者は Azure アカウントの任意のキュー/blob を削除することができます。この例のコードはユーザー/プログラムが要求されたキュー/blob を消去する権限を持っているかを確認していないため、現在のユーザー/プログラムに属していないキュー/blob も消去されます。