モジラのバグ管理システム「Bugzilla」に不正アクセス

UPDATE　Mozillaは、あるハッカーが「Firefox」のバグ記録にアクセスし、その結果、少なくとも1つのセキュリティ脆弱性を利用してユーザーに攻撃を仕掛けたことを認めた。

　しかし、原因はセキュリティ脆弱性ではなかった。ハッカーは、「Bugzilla」のある特権ユーザーのパスワードを取得することでこれにアクセスしていた。

　MozillaのBugzillaは、セキュリティ担当者や開発者がMozilla製品の問題を記録しておくことのできるウェブベースのトラッカーである。同プラットフォーム上の情報の多くは公開されているが、重大なセキュリティ脆弱性の開示など、セキュリティ関連の機密情報は、権限のあるユーザーしかアクセスできないようになっていた。

　ここに問題が潜んでいる。Mozillaは透明性の確保を目的に、Firefoxユーザーを攻撃するためにこの情報を盗むことに成功した人物が存在することを明らかにした。Mozillaは先週、特権ユーザーのアカウントが不正にアクセスされ、同一生成元ポリシー（Same-Origin Policy：SOP）の脆弱性に関連するデータが盗まれたことを公表した。この脆弱性は、JavaScriptペイロードを実行してローカルファイルに挿入することを可能とし、機密データの喪失につながる恐れのあるものだった。

　米国時間8月6日にこの脆弱性に対するパッチが発行されたが、それはこの脆弱性が悪用された後だった。ハッカーは合計185件の非公開のバグ情報にアクセスした。110件は「ソフトウェアセキュリティ以外の理由に基づき保護」されていたもの、22件は軽微な問題、53件は深刻な脆弱性だった。モジラは、攻撃者が入手したその他の情報がFirefoxユーザーへの攻撃に使用された兆候はないとしており、8月末にリリースされたFirefoxの最新版は、攻撃者が入手し、悪用される可能性のあったすべての脆弱性を修正済みであると述べている。

　Mozillaは、問題のアカウントのパスワードは、ある別のウェブサイトで発生したデータ漏えいよって流出し、それがたまたまBugzillaのアカウント情報と一致したものとみている。不正アクセスの日付は2014年9月まで遡るが、Mozillaによると、最大でその1年前からアクセスが得られていた可能性があるという。不正にアクセスされた問題のアカウントはすでに閉鎖され、法執行機関への通知がなされている。Mozillaはブログ記事で次のように述べた。

　「Mozillaは、この不正アクセスについて調査を実施し、差し迫っての脅威に対処するためにいくつかの措置をとった。また、Mozillaの製品、開発者コミュニティー、そしてユーザーのセキュリティを確保するため、Bugzillaの改善にもあたっている。今後このような攻撃が発生するリスクを減らすべく、Bugzillaのセキュリティ慣行をアップデートする予定だ」

　Mozillaは今後、特権ユーザーにパスワードの変更と2要素認証の利用を義務付け、個々のアカウントのセキュリティ強化を図る。これに加えて、特権的アクセスができるユーザーの数を減らし、それらのアカウントに制限を加える。つまり、攻撃される可能性のあるアカウント自体を少なくすると同時に、攻撃者がアカウントへのアクセスを得たとしても、ポータル内で到達できる範囲を制限するということだ。