ポストモーテム: ワークスペースへの意図しない自動参加

#概要

Pulseのワークスペースには、同じメールアドレスのドメインを持つ利用者が自動的に参加できる設定があります。この自動参加の判定を、外部のID基盤の事業者から受け取るメールアドレスのドメインの一致のみで行っていたため、組織に管理されていない個人アカウントであっても、ドメインが一致すれば当該組織のワークスペースに参加できる状態でした。

利用者からの報告を受けて調査を行い、ドメインの一致に加えて組織による管理下にあることの確認を必須とする修正を適用しました。調査の結果、実際に管理外のアカウントがワークスペースに参加していた事例は確認されていません。

#発生原因

本事象は、自動参加の判定を外部のID基盤から受け取るメールアドレスのドメインの一致だけで行っていたことにより生じました。ドメインが一致するアカウントは必ずその組織に管理されている、という前提が実際の仕様と合っていませんでした。

#経緯

#直接の原因

外部のID基盤の事業者は、かつて、組織のドメインと同じメールアドレスを持ちながら、その組織の管理下にない個人アカウントの作成を許容していました。Pulseの自動参加の判定は、メールアドレスのドメインが一致することをもって「その組織の構成員である」とみなしており、当該アカウントが組織の管理下にあるかどうかを確認していませんでした。

前提としていた「組織のドメインのアカウントを持つことは、その組織に管理されていることを意味する」という理解が、実際の仕様と一致していませんでした。

#対応

#調査の方法

本番環境のワークスペースのメンバー一覧を対象に、組織の管理下にないアカウントで参加している利用者を検索しました。修正の適用前後の2回にわたって検索を行い、いずれも該当する利用者は存在しませんでした。

#影響範囲

• 影響を受けうるのは、「同じドメインの利用者の自動参加を許可する」設定を有効にしていたワークスペースです。この設定を無効にしていたワークスペースは、招待による参加のみを受け付けるため、本事象の対象外です。
• 調査の範囲では、管理外のアカウントによるワークスペースへの参加は確認されていません。報告いただいた利用者のワークスペース以外でデータが参照された形跡もありません。
• 利用者による対応は必要ありません。

#再発防止策

1. 判定条件の明示化 — 自動参加の判定を、メールアドレスのドメインの一致と、組織による管理下にあることの確認の両方を満たす場合に限定しました。
2. 外部の仕様に依存する前提の洗い出し — 外部のID基盤の仕様について暗黙の前提を置いている箇所を洗い出し、実際の仕様と照合しました。
3. 既定値の見直し — ワークスペースを新規に作成した際の自動参加の既定値と、管理者向けの説明を見直しました。
4. 利用者からの報告経路の周知 — 利用者から寄せられたセキュリティに関する報告を、社内の対応経路へ確実につなぐ手順を整理しました。

#謝辞

責任ある開示を行っていただいた〔報告者名〕に感謝します。事象の再現と修正の確認にご協力いただきました。

#参考情報

• 脆弱性開示ポリシー — 調査を許可する範囲、報告の方法、報告者への対応
• ワークスペース — 自動参加の設定とメンバーの管理
• セキュリティ体制 — 平時の技術的・組織的な安全管理措置
• 本件に関するお問い合わせ: tharada@the-unchain.com／脆弱性のご報告: tharada@the-unchain.com