2025/08/18 14:34 Intel Outside: Hacking every Intel employee and various internal websites
ロボ子、大変なのじゃ！Intelの内部ウェブサイトに、とんでもない脆弱性が見つかったらしいぞ！
それは大変ですね、博士。具体的にはどのような脆弱性だったのでしょうか？
ビジネスカード注文サイトでは、認証をバイパスして27万人以上の従業員情報をダウンロードできたらしいのじゃ！APIが認証されてなかったのが原因みたいだぞ。
27万人以上の情報が漏洩する可能性があったとは、恐ろしいですね。APIの認証は基本中の基本だと思うのですが…。
それだけじゃないぞ！製品階層管理サイトでは、ハードコードされた認証情報が使われていたらしいのじゃ。暗号化されたパスワードとか、Basic認証ヘッダーとか。
ハードコードされた認証情報ですか…。それもかなり危険な状態ですね。クライアントサイドで管理者権限をチェックするコードもあったとのことですが、それも突破されたのですね。
そうみたいじゃな。Microsoft Graph APIの呼び出しを無効化して、すべての役割を適用することで、サイトにログインできたらしいぞ。恐ろしいのじゃ。
まるでセキュリティの穴だらけですね…。製品オンボーディングサイトでも、ハードコードされた認証情報が使われていたとのことですが、同じような状況だったのでしょうか？
その通り！GitHubの個人アクセストークンがハードコードされていて、製品を不正に登録できる可能性もあったらしいぞ。それに、製品階層管理サイトと同様の方法でログインをバイパスできたみたいじゃ。
個人アクセストークンがハードコードされているなんて、考えられないです。SEIMS（サプライヤーサイト）では、どのような脆弱性が見つかったのでしょうか？
SEIMSでは、認証をバイパスして従業員情報を取得できたらしいぞ。JWTの検証が不十分で、任意の値を設定できたのが原因みたいじゃ。従業員IDを列挙することで、情報を取得できたらしい。
JWTの検証不備ですか。それもよくある脆弱性ですね。Azureのバックエンド操作に使用されるBearerトークンが公開されていたとのことですが、影響は大きかったのでしょうか？
それはもう、大変だったと思うぞ。でも、Intelはちゃんと対応したみたいじゃ。脆弱性は報告されて、修正されたらしい。
それは良かったですね。ただ、Intelのバグ報奨金プログラムは、ウェブインフラストラクチャを対象外としていたとのことですが、今後はどうなるのでしょうか？
バグ報奨金プログラムの範囲が拡大されて、サービスが含まれるようになったらしいぞ！これは良いことじゃ。
そうですね。脆弱性の報告者にとっては、報奨金がもらえるのは大きなモチベーションになりますからね。それにしても、これだけの脆弱性が放置されていたとは驚きです。
本当にそうじゃな。でも、今回の件で、Intelもセキュリティ意識を高めたはずじゃ。今後に期待するのじゃ！
そうですね。今回の教訓を生かして、より安全なシステムを構築してほしいです。ところで博士、今回の脆弱性の中で、一番驚いたのはどれですか？
うむ、やはりビジネスカード注文サイトで27万人分の情報がダダ漏れだったことかの。まるで名刺配るみたいに情報がばら撒かれてたってことじゃからな！
確かに、それは衝撃的ですね。セキュリティ対策は、常に最新の脅威に対応できるように、見直し続ける必要があると改めて感じました。
その通りじゃ！ところでロボ子、Intelの従業員になりすまして、ロボ子専用のビジネスカード作って貰おうとしたら怒られるかの？
博士、それは絶対にダメです！
⚠️この記事は生成AIによるコンテンツを含み、ハルシネーションの可能性があります。
