本稿は、2026年4月に開催されたセキュリティイベント「Black Hat Asia 2026」のセッション「Lost in Normalization: From URL Quirks to Poisoning the Azure Supply Chain」の内容に基づく。同セッションでは、Wizのニル・オーフェルド氏（脆弱性リサーチ責任者）とローネン・シュスティン氏（セキュリティリサーチャー）が登壇し、具体的な攻撃手法と環境構築の教訓を解説した。

　研究チームはAIインフラの共通システムであるGPUに着目し、「Microsoft Azure」の調査を開始した。最初にACIでGPUコンテナを起動して内部ネットワークを走査した結果、コンテナオーケストレーションツールである「Kubernetes」のノードエージェント「kubelet」の通信ポートが未保護の状態で露出していることを発見した。このポートを経由させることで、同じノードで稼働するMicrosoftのインフラ管理用ポッド（コンテナの実行単位）に侵入し、KubernetesのAPIに対する認証情報を取得することに成功した。

　取得した権限でAPIサーバへの通信を試みたものの、テナント間分離を担う独自の「APIサーバプロキシ」によって制限が掛けられていた。研究チームが調査を進めると、この中継サーバのコンテナイメージが公開レジストリに誤って配置されていることが判明した。ソースコードを解析した結果、この中継サーバは、テナント分離を保証するために実装されたMicrosoft固有のコンポーネントであることが分かった。プロキシは要求元のネームスペースを検証し、正規のKubernetes APIサーバに対して特権アカウントを用いて通信を転送する仕組みを持っていた。

　研究チームは、この通信処理過程において、URL解析機能の検証を擦り抜ける脆弱性を特定した。「Windows」に由来して、バックスラッシュがスラッシュと同様のディレクトリ区切りとして処理される特性を突くことで、自テナントの論理的な区画を越え、任意のAPIリクエストを実行可能にした。

　データ取得時に用いる特定のクエリパラメータの仕様にも注目した。パラメータのトークンをデコードした結果、取得対象のリソース名とネームスペースが含まれていることを発見した。この仕組みを利用してループ処理を実行することで、クラスタ内に存在する全てのテナントおよびインフラリソースを列挙する手法を確立した。

　このリソース列挙機能によって、他テナントのシステム構成情報から非公開データを取得するための認証鍵（シークレット）を抽出し、他テナントの非公開コンテナレジストリへのアクセス権を獲得した。Microsoft Azure内部のコンテナレジストリに対する書き込み権限を持つ認証情報も発見し、ACI全体に影響を与えるサプライチェーン攻撃が成立することを立証した。

　この事例は、単一の誤設定や低リスクと見なされる複数の欠陥が連鎖することで、重大なセキュリティ侵害につながる構造を示している。独自開発されたAPIプロキシはテナント分離を強化する目的があったものの、主要なオープンソースソフトウェアで既に解決済みの脆弱性を再実装してしまう結果になった。内部システム用のコンテナイメージを不用意に公開環境へ配置したことが、攻撃者にシステム構成の解析を許す要因となった。

　オーフェルド氏は、Microsoftが優れた多層防御を構築していた点を評価しつつも、コンテナイメージの取得にダイジェスト（データから一意に算出されるハッシュ値）ではなく可変のタグを使用していたことが、サプライチェーン攻撃を可能にした根本原因だと指摘した。システムを保護するためには、第一線の防御壁がいずれ突破されることを前提とし、仮想化技術を用いた分離や強固なネットワーク制御、最小権限の原則に基づく権限管理を組み合わせる必要がある。同氏は、これらの教訓を生かした堅牢なマルチテナント環境の構築を強く提唱している。

本稿は、Black Hatが2026年8月17日に公開した動画「Black Hat Asia 2026 | Lost in Normalization: From URL Quirks to Poisoning the Azure Supply Chain」を基に作成しました。