Azure Storage Explorer のクロスサイトスクリプティングで権限昇格（NVD 主評価 9.6 / Microsoft 8.8）

Critical（CVSS 9.6）に分類されるMicrosoft Microsoft Azure Storage Explorer。NVD の適用範囲は 1.45.0 未満（versionEndExcluding 1.45.0）。修正は 1.45.0 で入っている。の脆弱性です。Azure Storage Explorer に、Web ページ生成時の入力の無害化不備（クロスサイトスクリプティング）がある。NVD の記述は「Azure Storage Explorer における Web ページ生成時の入力の不適切な無害化（クロスサイトスクリプティング）により、認証されていない攻撃者がネットワーク経由で権限を昇格させることを許す」としている。 **この CVE は評価が2つに割れており、そこが読みどころである。**Microsoft（secure@microsoft.com）の二次評価は CVSS 3.1 で **8.8（High）**、ベクタは AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H。一方 NVD（nvd@nist.gov）の**主評価は 9.6（Critical）**で、ベクタは AV:N/AC:L/PR:N/UI:R/**S:C**/C:H/I:H/A:H である。 **違いは Scope（S）の1文字だけである。**Microsoft は S:U（スコープ変更なし＝影響は脆弱なコンポーネント内に留まる）と評価し、NVD は S:C（スコープ変更あり＝脆弱なコンポーネントの管理権限を越えて影響が及ぶ）と評価した。この差が 8.8 と 9.6 を分けている。 **Azure Storage Explorer の性質を考えると、この差は実務上の意味を持つ。**これは Azure のストレージアカウントに接続して blob・ファイル・キュー・テーブルを操作するデスクトップアプリケーションであり、**接続先の資格情報（アカウントキー、SAS トークン、Entra ID のセッション）をローカルに保持している**。アプリ内で任意のスクリプトが動くということは、そのアプリが持っている接続の権限が攻撃者の手に渡るということである。影響がアプリの中で完結しないという NVD の読み（S:C）は、この構造と整合する。 **攻撃には利用者の操作が要る（UI:R）。**認証は不要（PR:N）で攻撃元はネットワーク（AV:N）だが、何らかの形で細工されたコンテンツを利用者に開かせる必要がある。ストレージ内のオブジェクト名やメタデータなど、**外部から書き込める文字列がアプリの画面に描画される経路**が実際の入口になりうる。 参照は Microsoft の MSRC アドバイザリ1本のみで、実証コードの公開は NVD の参照からは確認できない（2026-09-01 時点）。CISA の KEV カタログにも収載されていない（カタログ版 2026.08.31 で確認）。NVD のステータスは Analyzed、最終更新は 2026-08-17 である。

対応は **Azure Storage Explorer を 1.45.0 以降へ更新すること**である。NVD の適用範囲が「1.45.0 未満」と明示されているので、判断は単純である。 **まず、どこに入っているかを数えることが実務上の要点になる。**これはサーバ側の脆弱性ではなく、**開発者・運用者の端末に入っているクライアントアプリの脆弱性**である。サーバの構成管理台帳には載っておらず、各人が個別に入れていることが多い。組織として対応するなら、資産管理・MDM・パッケージマネージャ（winget / Homebrew / apt）の導入記録から、1.45.0 未満が残っている端末を洗い出すところから始める。 **次に、その端末が持っている接続の棚卸しをすること。**この脆弱性の実質的な被害は「アプリが持っている接続の権限が奪われること」なので、被害範囲は端末そのものではなく**その端末に登録されているストレージアカウントの数と権限**で決まる。長期の アカウントキー を直接登録している端末が最も危ない。 **恒久的な緩和として、アカウントキーの直接利用をやめる方向が効く。**Entra ID による認証（RBAC）に寄せておけば、漏れたときに失効させられるし、条件付きアクセスの対象にもなる。期限の長い SAS トークンを配って回っている運用があるなら、この機会に見直す価値がある。これは本 CVE の修正の代わりにはならないが、**同種の「クライアント側で資格情報が抜かれる」事象すべてに効く**。 **更新までのあいだの手当て**としては、素性の分からないストレージアカウントに Storage Explorer で接続しないこと、共有された SAS URL を安易に開かないことが挙げられる。UI:R が必要なので、開かせる工程を踏ませないことが直接の防御になる。

Microsoft Microsoft Azure Storage Explorer。NVD の適用範囲は 1.45.0 未満（versionEndExcluding 1.45.0）。修正は 1.45.0 で入っている。 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-57104）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。