トレーディング基盤ペネトレーションテスト ― 無認証APIから不正管理者へ

プロジェクト概要

あるフィンテック企業（機密）より、実資金を扱う前段階のトレーディング基盤に対するテストをご依頼いただきました。対象はGraphQLのコアAPI、注文のルーティングとマッチングを担う.NETサービス群、そして運用担当者がユーザー承認やポジション操作を行う社内コンソールです。本番同等のミラー環境に対し、グレーボックスでのペネトレーションテストとして実施しました。結果は個別の衛生問題の羅列ではなく、ひと続きの攻撃チェーンでした。特権的なGraphQLクエリはトークンなしで応答し、アカウント作成経路はクライアントから送られたロール項目を信用していたため、通常のサインアップがそのまま有効な管理者を生み出しました。初期投入アカウントは環境をまたいで同一のパスワードを共有し、署名鍵とデータベース認証情報はリポジトリにコミットされたうえ公開済みコンテナイメージ内でも読み取れる状態で、注文取り込みサービスはメッセージ本文から攻撃者の影響下にある型を復元していました。各段階は非破壊的に実証し、CVSSで評価し、再現手順を添えて文書化し、修正適用後に再テストを行いました。

テストで判明した内容

内容はNDAのもとでクライアントに報告済みです。製品名・エンドポイント・識別につながる詳細は伏せています。他へ応用できるのはパターンの方です。

• 無認証のGraphQLアクセス。本番環境でイントロスペクションが有効なうえ、特権リゾルバーがベアラートークンなしで応答しており、エンドポイントに到達できる者に口座・残高・注文履歴が露出していました。
• マスアサインメントによる権限昇格。登録用ミューテーションがクライアント指定のロール属性を受け入れていたため、通常のサインアップ要求がそのまま完全に機能する管理者アカウントを生成しました。
• 共通の初期認証情報。初期投入されたデモアカウントとサービスアカウントがすべて同一のパスワードを使用しており、同じ値がステージングと本番の双方に存在していました。
• ソースと成果物に残された機密情報。リクエスト署名鍵とデータベース認証情報がリポジトリにコミットされ、さらに公開済みコンテナイメージ内でも読み取れる状態でした。リポジトリ側のローテーションだけでは不十分な状況です。
• 注文取り込みにおける安全でないデシリアライズ。ルーティングサービスがメッセージ本文から攻撃者の影響下にある型を復元しており、マッチングエンジンに隣接するホスト上でのコード実行に直結し得る経路でした。
• ログへの機微情報の書き出し。認証情報や注文明細を含むリクエスト本文全体が、数か月保管されるログファイルに書き出され、業務上の必要がないロールからも参照できる状態でした。