Microsoft Partner Center の権限管理の不備の脆弱性（CVE-2024-49035）

何が起きた

Microsoft のパートナー向けサイト Partner.Microsoft.com（Microsoft Partner Center）で、アクセスの制御が正しくないため、権限を引き上げられてしまう弱点が見つかりました。攻撃者はネットワーク経由で、ログインせずに悪用できます。Microsoft も悪用が確認されたとしており、CISA の KEV にも載っています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Microsoft Partner Center は、Microsoft が運営するオンラインのサービスです。利用者の手元に入れるソフトではないため、影響を受けるバージョンという考え方はありません。

何をすればいい

Microsoft は 2024年11月26日にこの脆弱性を公開し、オンラインのサービス側で修正が自動的に配られるため、利用者がする作業はないと説明しています。公式の案内を確認し、Microsoft からの連絡があればそれに従ってください。

やることチェックリスト

• Partner Center の利用者は追加の作業が不要だと把握する
• Microsoft からの連絡が届いたら内容を確かめる
• 連絡で求められた対応があれば実施する

用語メモ

アクセスの制御

誰がどの情報や機能を使ってよいかを決めて守る仕組みです。

権限を引き上げ

本来より強い権限を不正に手に入れることです。