GmailとGoogle ドライブを巡る深刻なセキュリティ上の失態を解説
このグーグルの深刻なセキュリティ上の失態は、イルカシが当初、フィッシングキャンペーンのペイロードとしてのSVG（拡大縮小可能なベクター画像形式。Scalable Vector Graphics）の悪用について調査していた際に明らかになった。「主要プロバイダーに対してペイロードのテストを行う中で」とイルカシは説明する。「Gmailで添付ファイルのブロックに遭遇しました」。
ファイルを添付した時点で「ウイルスを検出」のラベルが表示され、Gmailはそのペイロードの送信を阻止した。Google ドライブにもスキャンの仕組みがあり、悪意あるファイルを「不正使用としてフラグ付け」とマークして作成者以外がダウンロードできないようにし、潜在的に有害なファイル形式をダウンロードしようとするユーザーには警告画面を表示する。ここまでは良い知らせだ。そして、次に何が来るかはお察しの通りだろう。
Google ドライブを利用することで、悪意あるデータを送信できてしまう
悪い知らせは、イルカシが、本来であれば送信できないはずの悪意あるSVGサンプルを、Google ドライブをホスティング基盤として利用することで送信できてしまったということだ。問題のSVGサンプルは、Gmailによってすでに「ウイルスを検出」と判定され、その結果として送信がブロックされていたものである。
そう、読んでいただいた通りである。すでにウイルスとしてフラグ付きだったのにもかかわらず、そのファイルはGoogle ドライブにアップロードでき、共有リンクを持つ誰もがアクセスできるよう設定することも可能だった──そして、Gmail自身のGoogle ドライブ添付機能を使えば、そのファイルをメールに添付して送れてしまったのである。これはスキャン機構の間にある設計上の不整合であり、その結果、ほぼすべてのGmail利用者に危険をもたらすものである。
すでに悪意あるものと判明しているGoogle ドライブ上のファイルへのリンクを含む新しいメールを作成しても、Gmailは再スキャンを行わず、何事もなかったかのようにそのまま送信した。しかも、誤解を招く「Gmailによりスキャン済み」のラベル付きである。
問題はどうやら、GmailがGoogle ドライブ由来のファイルに対して暗黙のうちに信頼を与えている点にあるようだ。Gmailは、ファイルが内部エコシステム内にあるのだから他で事前検証済みだろうと想定し、その結果として標準の検証手順を省略してしまい、「悪意あるペイロードが、その保管先コンテナの『安全』というステータスを引き継ぐことを許してしまっている」とイルカシは指摘した。
