～非常に単純な方法で悪用できるため、甚大な被害が懸念される

Hotmailと.NET Passportに単純な方法で情報が漏えいする深刻な問題

■URL
http://www.microsoft.com/security/passport_issue.asp
http://securityfocus.com/archive/75/320768/2003-05-05/2003-05-11/0

Muhammad Faisal Rauf Danka氏が報告した「SecurityFocus」のWebサイト

　米Microsoftは8日、同社の「Microsoft .NET Passport」にセキュリティ上の問題があり、攻撃者にパスワードを変更されたり、アカウントを不正利用される可能性があったと発表した。現在は修復されているという。

　「.NET Passport」には、ユーザーがパスワードを忘れるなどでパスワードのリセットが必要な場合に、アカウントとメールアドレスを入力すると、パスワードをリセットできるURLを掲載したメールが送信されてくる機能があった。

　問題は、この機能を利用し、攻撃者が他人のアカウント名と自分のメールアドレスを組み合わせることによって、他人のパスワードを変更できることだ。これによって、非常に単純な試みで情報漏えいが発生するというもの。

　この問題によって、アカウントやクレジットカード等の不正利用ができるほか、Microsoftのメールサービス「Hotmail」も「.NET Passport」を利用しているため、Hotmailを利用しているユーザーはメール内容を読まれる可能性もある。Microsoftでは、現在この“セキュリティホール”を修正し、こうした問題は発生しないという。

　「.NET Passport」は、インターネット上での個人認証手続きを共通化し、一回の認証でさまざまなサービスが利用できるようになるというサービス。クレジットカード番号などの個人情報を入力しておくことで、オンラインショッピングも面倒な登録無しに利用できる。また、「Hotmail」にも利用されていることから、利用者数は約2億人にのぼるとされる。

　この脆弱性を発見したMuhammad Faisal Rauf Danka氏が、SecurityFocusに報告した内容によると、同氏は4月12日にこの問題を発見して以降、10回以上にわたってMicrosoftに連絡していたという。

　今回Microsoftが修正したことによって、現在「.NET Passport」にログインできるユーザーには影響がないものの、パスワードを失念した等によってログインできないユーザーは「.NET Passport」のカスタマーセンターに連絡する必要がある。

(2003/5/9)

[Reported by otsu-j@impress.co.jp]