Azure DNS の認可欠落による権限昇格（Microsoft 側で修正済み）

Critical（CVSS 9.8）に分類されるMicrosoft Azure DNSの脆弱性です。Azure DNS に認可の欠落があり、認証されていない攻撃者がネットワーク経由で権限を昇格できたとされる問題である。公開されている記述は英文一文のみで、内部の技術的な詳細は開示されていない。CVSS は評価元で割れており、NVD（Primary、nvd@nist.gov）は 9.8 Critical（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）、Microsoft（CNA、Secondary）は 10.0 Critical（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:H/A:H）と評価している。差はスコープ変更を認めるか（S:C か S:U）と機密性への影響を数えるか（C:N か C:H）の見方の違いである。Microsoft の Temporal は 8.7（E:U/RL:O/RC:C）で、悪用は未確認（exploited=No）とされる。MSRC のガイドは customerActionRequired=false で、FAQ に「この脆弱性は Microsoft 側で既に完全に緩和済みであり、このサービスの利用者が取る作業は無い。この CVE の目的は透明性の提供である」と明記されている。CPE は cpe:2.3:a:microsoft:azure_dns:- の 1 件のみでバージョン範囲は無い。CISA KEV には未収載のため是正期限は無く、ランサムウェア利用の記録も無い。NVD の vulnStatus は Analyzed。

まず結論を言うと、この CVE について利用者側の該当判定とパッチ適用は発生しない。Azure DNS は Microsoft が運用するマネージドサービスで、利用者の手元にパッチを当てる対象が存在しないためである。CPE がサービス本体を指す 1 件だけでバージョン範囲を持たないのも同じ理由による。自分のサブスクリプションで Azure DNS のパブリックゾーンやプライベートゾーンを使っているかは Azure Portal のリソース一覧、あるいは az network dns zone list と az network private-dns zone list で機械的に洗い出せるが、使っていたとしても更新の必要は無い。すぐ更新できない場合の緩和策という論点も立たない。MSRC が customerActionRequired=false と明言しており、Workaround や Mitigation の節そのものが置かれていない。Microsoft がクラウドサービスの CVE を出す趣旨は「起きたことと直し終えたことを知らせる」ことにあり、作業指示ではない点を押さえておけばよい。では何をすれば終わりかというと、脆弱性管理の台帳に本 CVE が入ってきたときに、対応済みではなく対象外（ベンダー側で修正完了、利用者の作業なし）として根拠付きで閉じることが完了条件になる。スコアが 9.8 から 10.0 と高いので機械的にエスカレーションされやすいが、ここで作業を発明する必要は無い。そのうえで、この CVE とは切り離した恒常的な点検として、DNS ゾーンに対する RBAC の割り当て（ゾーンのレコードを書き換えられる主体が想定どおりか）と、既に削除したリソースを指したまま残っているレコード、いわゆるダングリング DNS の棚卸しは定期的にやっておく価値がある。DNS の権限昇格という言葉が出たときに実際に自組織のリスクになりやすいのは、そちらの設定不備の側だからである。

Microsoft Azure DNS を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-58275）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。