ポストモーテム: セッションのログアウト不全

#概要

外部のID基盤の事業者が提供するアカウントでログインしていた利用者について、当該アカウントが停止または削除された後も、Pulseのセッションが自動的に失効しない事象がありました。対象となる利用者は、自ら明示的にログアウトするまで、Pulseに保存された過去の会議ノートと文字起こしを引き続き参照できる状態でした。

外部の研究者からの報告を受けて調査を行い、デスクトップアプリとウェブアプリのそれぞれに修正を適用しました。

#発生原因

本事象は、Pulseのセッションの有効性を、連携している外部アカウントの状態と結びつけていなかったことにより生じました。有効性の確認がログインの時点に限られていた点が直接の原因です。

#経緯

#直接の原因

Pulseのセッションが、連携している外部アカウントの有効性と結びついていませんでした。外部のID基盤で認証を行ってトークンを受け取った後は、その後にアカウントが停止または削除されても、利用者が自らログアウトするまでセッションが有効なままとなる構造でした。

有効性の確認は、ログインの時点でのみ行われており、セッションを更新する処理には含まれていませんでした。組織が退職者のアカウントを停止しても、その情報がPulse側のセッションに反映されない状態が続いていました。

#対応

#影響範囲

• 対象は、ワークスペース機能の提供開始以降に、外部アカウントとの連携を解除した利用者、または当該アカウントが停止もしくは削除された利用者のうち、いずれかのワークスペースに参加していた〔対象となる利用者数〕名です。
• 対象となる利用者が参照できたのは、当該利用者がもともと閲覧権限を持っていた会議ノートおよび文字起こしに限られます。権限のない他の利用者のノートに到達できる事象ではありませんでした。
• 対象となる利用者は、修正の適用時にすべて自動的にログアウトされています。
• 利用者による対応は必要ありません。

#再発防止策

1. トークン更新時の検証 — アクセストークンを更新する処理に、連携先アカウントの有効性を確認する工程を追加しました。従来はログイン時にのみ行っていた確認を、セッションの継続中も行います。
2. 定期的な確認 — 連携先アカウントの状態を定期的に確認し、停止や削除をより早く検知する仕組みを追加しています。
3. 認証まわりの横断的な点検 — 認証とセッション管理について、製品全体を対象とする点検を開始しました。
4. 変更時の審査 — 認証に影響する変更について、事前の審査を必須とする手順を定めました。

#謝辞

責任ある開示を行っていただいた〔報告者名〕（〔報告者の所属組織名〕）に感謝します。報告の内容が具体的であったため、当初の報告範囲を超える影響の存在を早期に確認できました。

#参考情報

• 脆弱性開示ポリシー — 調査を許可する範囲、報告の方法、報告者への対応
• ワークスペース — メンバーの追加と削除、権限の管理
• セキュリティ体制 — 平時の技術的・組織的な安全管理措置
• 本件に関するお問い合わせ: tharada@the-unchain.com／脆弱性のご報告: tharada@the-unchain.com