Trusted Design

CVE-2024-39891 の詳細

CVEの情報

説明:
In the Twilio Authy API, accessed by Authy Android before 25.1.0 and Authy iOS before 26.1.0, an unauthenticated endpoint provided access to certain phone-number data, as exploited in the wild in June 2024. Specifically, the endpoint accepted a stream of requests containing phone numbers, and responded with information about whether each phone number was registered with Authy. (Authy accounts were not compromised, however.)

CVE更新日: 2024-07-02 18:15:03.447000

CVSSバージョン: 3.1

CVSSスコア: 5.3

KEVの情報

KEV更新日: 2024-07-23

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.016690000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: medium

Automatable: True

AIを使った解説

解説:

CVE-2024-39891に関する脆弱性調査結果を以下に解説します。

1. 脆弱性の概要

CVE-2024-39891は、Twilio Authy APIにおける情報漏えいの脆弱性です。認証されていない攻撃者が、Authyの二要素認証サービスに登録されている電話番号を列挙することを可能にします。この脆弱性は、認証を必要としないAPIエンドポイントが、電話番号を含む一括リクエストを受け入れ、その電話番号がAuthyサービスに登録されているかどうかを示す情報で応答するという点に存在しました。Authyのユーザーアカウント自体は直接侵害されていません。

1.1 影響

脅威アクターは2024年6月にこの脆弱性を悪用し、数百万件の電話番号を検証しました。この情報漏えいは、プライバシーとセキュリティに重大な懸念をもたらします。漏えいした登録状況データは、SIMスワップ、フィッシングキャンペーン、またはAuthy MFAを使用している高価値ターゲットに対するソーシャルエンジニアリング攻撃などの標的型攻撃に利用される可能性があります。

1.2 深刻度

この脆弱性の深刻度は「Medium（中）」と評価されています。CVSSスコアは5.3です (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N)。CISA (米国サイバーセキュリティ・社会基盤安全保障庁) の既知の悪用されている脆弱性（KEV）カタログに追加されており、実際に悪用されたことが確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

  • Authy Android バージョン 25.1.0 より前
  • Authy iOS バージョン 26.1.0 より前

2.2 影響を受ける設定

Twilio Authyインフラストラクチャ内の認証されていないAPIエンドポイントに脆弱性が存在しました。具体的には、認証なしで特定の電話番号データへのアクセスを提供するエンドポイントが影響を受けました。

3. 影響を受けた時の兆候

  • Authyの電話番号検証エンドポイントへのAPIリクエストの異常な急増。
  • 大規模な列挙攻撃。

4. 推奨対策

4.1 本対策

  • Authy Android をバージョン 25.1.0 以降に直ちに更新してください。
  • Authy iOS をバージョン 26.1.0 以降に直ちに更新してください。
  • Twilioは、この脆弱性に対処するAuthyモバイルアプリケーションのパッチ済みバージョンをリリースしており、適切な認証とアクセス制御を実装することで脆弱なAPIエンドポイントを保護しています。

4.2 暫定回避策（緩和策）

  • APIエンドポイントの構成を監査し、適切な認証要件を確認してください。
  • すべてのユーザー列挙に敏感なエンドポイントのレート制限を見直し、強化してください。
  • 影響を受けた可能性のあるユーザーに対し、フィッシングやSIMスワップのリスクについて警告してください。
  • 高リスクのアカウントに対しては、電話ベースのMFA以外の追加のID検証ステップを導入してください。
  • 電話番号検証に依存しないハードウェアセキュリティキーまたは認証アプリへの移行を検討してください。
  • SIMスワップから保護するために、モバイルキャリアでSIMロックを有効にしてください。
  • エンタープライズMFAにAuthyを使用している組織は、展開されているすべてのアプリケーションが更新されていることを確認し、影響を受けたユーザーに対する追加のセキュリティ監視を検討してください。

5. その他解説すべき観点

  • CISAは2024年7月23日にCVE-2024-39891を既知の悪用されている脆弱性（KEV）カタログに追加し、連邦政府機関の是正期限を2024年8月13日としました。
  • この脆弱性はCWE-203: Observable Discrepancy (Information Exposure Through Discrepancy) に分類されています。
  • ユーザーアカウントが侵害されたわけではありませんが、漏えいした電話番号は、フィッシングやSIMスワップなどのさらなる攻撃に利用される可能性があります。
  • Twilioは、このエンドポイントを保護し、認証されていないリクエストを許可しないように措置を講じました。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る