Microsoft Power Apps 情報漏洩の脆弱性

このSSRF脆弱性を悪用されると、攻撃者はPower Appsがアクセスできる内部ネットワークリソースにアクセスし、機密情報を盗み出す可能性があります。例えば、内部データベース、APIエンドポイント、または他の機密データが保存されている場所にアクセスし、その内容を窃取することが考えられます。攻撃者は、この脆弱性を利用して、内部ネットワークへの侵入経路を確立し、さらなる攻撃を実行する可能性もあります。この脆弱性は、組織の機密データ漏洩、システムへの不正アクセス、およびサービス停止につながる重大なリスクをもたらします。

Organizations heavily reliant on Microsoft Power Apps for business processes, particularly those integrating with internal systems or APIs, are at significant risk. Environments with weak network segmentation or inadequate input validation are especially vulnerable. Any deployment of Power Apps prior to the fixed version is potentially exposed.

• windows / dotnet: Monitor Power Apps logs for outbound requests to unexpected internal or external IP addresses or domains. Use PowerShell to check for unusual network connections initiated by Power Apps processes.

Get-Process -Name "PowerAppsService" | ForEach-Object { Get-NetTCPConnection -OwningProcess $_.Id }

• generic web: Monitor web server access logs for requests originating from Power Apps that target internal resources. Examine response headers for signs of SSRF exploitation (e.g., unusual server names or IP addresses). • database (mysql, redis, mongodb, postgresql): While less direct, monitor database logs for unusual connection attempts or queries originating from Power Apps, which could indicate an attacker attempting to leverage SSRF to access database information.

1. 2025-05-08Disclosure

   disclosure

1. 予約済み2025-05-08
2. 公開日2025-05-08
3. 更新日2026-02-13
4. EPSS 更新日2026-03-23

現時点では、Microsoftから公式な修正プログラムが提供されていません。そのため、一時的な緩和策として、Power Appsで使用する外部URLのリストを厳密に制限し、信頼できるURLのみを許可するホワイトリストを実装することが推奨されます。また、Power Appsのネットワークアクセスを必要最小限に制限し、不要な外部リクエストをブロックするファイアウォールルールを設定することも有効です。Power Appsのアクセスログを監視し、異常なリクエストを検知するための監視体制を構築することも重要です。Microsoftからの修正プログラムの提供を注視し、提供され次第速やかに適用してください。