← 戻る
CVE-2024-35255
medium
CVSS 5.5
Azure Identity Libraries and Microsoft Authentication Library Elevation of Privilege Vulnerability
概要
Azure Identity Libraries and Microsoft Authentication Library Elevation of Privilege Vulnerability
AI要約 snake-internal / snake-template-v1
Microsoftという製品で、CVE-2024-35255 という番号がついた弱点 (脆弱性) が見つかりました。
重要度は「中」（CVSSスコア 5.5/10）。悪用条件が限定的ですが、攻撃が成立すれば一定の被害が出る可能性があります。
あなた自身の対応としては、使っている製品やソフトを最新版に更新するのがいちばんの対策です。心配なら、システム担当者や製品の公式サイトで「Microsoft CVE-2024-35255」を検索してください。
CVE-2024-35255 (Microsoft)。重要度: 中 / CVSSv3 5.5。分類: CWE-362。
対応方針:
1. ベンダー公式アドバイザリで影響バージョン・修正版を確認
2. 該当バージョンが本番で稼働中なら、メンテ計画 (緊急度はKEV/CVSSで判断)
3. パッチ未提供時は WAF ルール・該当機能の無効化等で暫定回避
4. ログ・SIEMで該当CVEのIOC/PoCシグネチャを監視
詳細PoCや修正コミットは、当ページの『参照URL』および MITRE / NVD を参照してください。
❓ 何が問題か
Microsoft の弱点 (CVE-2024-35255)。深刻なソフトウェア欠陥が見つかっています。
📍 影響範囲
Microsoft の対象バージョン (各ベンダーアドバイザリで確認)。本番環境で稼働中であれば直ちに影響範囲を確認してください。
🔥 重要度
重要度: 中 (CVSS 5.5/10)。悪用条件が限定的ですが、攻撃が成立すれば一定の被害が出る可能性があります。
🔧 修正方法
ベンダー公式アドバイザリで提示された修正版に更新してください。 (CWE-362 の典型的対策パターン)
🛡️ 暫定回避
修正版がまだ提供されていない場合は、影響機能の無効化・WAFルール・ネットワークACLでの遮断・該当バージョンの隔離を検討してください。
🔍 検知方法
バージョン情報の確認、SBOMでの依存関係スキャン、SIEMでの該当CVEに関するIOC・PoCシグネチャ監視を実施してください。
影響パッケージ
PyPI
azure-identity
[{"type":"ECOSYSTEM","events":[{"introduced":"0"},{"fixed":"1.16.1"}]}]
npm
@azure/identity
[{"type":"SEMVER","events":[{"introduced":"0"},{"fixed":"4.2.1"}]}]
Maven
com.azure:azure-identity
[{"type":"ECOSYSTEM","events":[{"introduced":"0"},{"fixed":"1.12.2"}]}]
npm
@azure/msal-node
[{"type":"SEMVER","events":[{"introduced":"2.7.0"},{"fixed":"2.9.2"}]}]
NuGet
Microsoft.Identity.Client
[{"type":"ECOSYSTEM","events":[{"introduced":"4.61.0"},{"fixed":"4.61.3"}]}]
Go
github.com/Azure/azure-sdk-for-go/sdk/azidentity
[{"type":"SEMVER","events":[{"introduced":"0"},{"fixed":"1.6.0-beta.4.0.20240610221955-50774cd97099"}]}]
Maven
com.microsoft.azure:msal4j
[{"type":"ECOSYSTEM","events":[{"introduced":"1.14.4-beta"},{"fixed":"1.15.1"}]}]
NuGet
Azure.Identity
[{"type":"ECOSYSTEM","events":[{"introduced":"0"},{"fixed":"1.11.4"}]}]
参照URL
- advisory https://nvd.nist.gov/vuln/detail/CVE-2024-35255
- advisory https://github.com/advisories/GHSA-m5vv-6r4h-3vj9
- package https://pypi.org/project/azure-identity
- web https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-35255
- web https://github.com/AzureAD/microsoft-authentication-library-for-dotnet/issues/4806#issuecomment-2178960340
- web https://github.com/Azure/azure-sdk-for-go/commit/50774cd9709905523136fb05e8c85a50e8984499
- web https://github.com/Azure/azure-sdk-for-java/commit/5bf020d6ea056de40e2738e3647a4e06f902c18d
- web https://github.com/Azure/azure-sdk-for-js/commit/c6aa75d312ae463e744163cedfd8fc480cc8d492
- web https://github.com/Azure/azure-sdk-for-net/commit/9279a4f38bf69b457cfb9b354f210e0a540a5c53
- web https://github.com/Azure/azure-sdk-for-python/commit/cb065acd7d0f957327dc4f02d1646d4e51a94178