注目★★★★★Hacker News
J&J の採用・監査システムで認証バイパス、学生1000人と20社の内部データが露出
30秒で把握
- 1J&Jの2アプリで認証バイパス—学生1,000人と20社内部監査データが露出
- 2MSAL導入でも APIが固定キー or 未認証のままで認証が形骸化していた
- 3APIのサーバーサイド認証実装を自社アプリで再確認することが有効
要約
セキュリティ研究者がジョンソン＆ジョンソンの2つのWebアプリに認証バイパスの脆弱性を発見し、2025年10月に報告した。1つ目のキャンパス採用システムでは、MSALトークンが実際には使われず固定APIキーで認証していたため、クライアント側コードの改ざんだけで約1,000人の学生情報や面接評価にアクセスできた。2つ目の社内監査管理システム(ATMS)は全APIが未認証状態で、関連20社の機密情報と13,600人以上の社員リストが取得可能だった。
あなたへの影響
クライアント側のみで認証チェックを行いAPIを無防備にする実装は今なお頻出するため。
推奨：自社WebアプリのAPIエンドポイントがBearerトークン等のサーバーサイド検証を必ず実施しているか点検しておくとよい。