オフィスコミュニケーション プラットフォーム Slack は、使いやすく直感的に使用できることで知られています。 でも会社は 言った 金曜日に、その摩擦の少ない機能の 1 つに脆弱性が含まれており、現在は修正されており、一部のユーザーのパスワードの暗号化されたバージョンが公開されていました。
ユーザーが特定の Slack ワークスペースにサインアップするために他のユーザーが使用できるリンク (「共有招待リンク」と呼ばれる) を作成または取り消した場合、コマンドはリンク作成者のハッシュ化されたパスワードをそのワークスペースの他のメンバーに誤って送信しました。 この脆弱性は、2017 年 4 月 17 日から 2022 年 7 月 17 日までの 5 年間に共有招待リンクを作成またはスクラブしたすべての人のパスワードに影響を与えました。
たるみ、つまり 現在所有 Salesforce によると、セキュリティ研究者は 2022 年 7 月 17 日に同社にバグを開示したと述べています。誤ったパスワードは Slack のどこにも表示されず、Slack の関連する暗号化されたネットワーク トラフィックをアクティブに監視している誰かによってのみ発見された可能性があると同社は述べています。サーバー。 同社は、欠陥の結果としてパスワードの実際の内容が侵害された可能性は低いと述べていますが、木曜日に影響を受けたユーザーに通知し、すべてのユーザーにパスワードのリセットを強制しました.
Slack によると、この状況はユーザーの約 0.5% に影響を与えました。 2019年、同社は 言った 1 日のアクティブ ユーザー数は 1,000 万人を超え、これは約 50,000 件の通知を意味します。 これまで、同社は 倍近いかもしれない その数のユーザー。 5 年間にわたってパスワードを公開していた一部のユーザーは、現在も Slack ユーザーではない可能性があります。
「すぐに修正を実装するための措置を講じ、バグが発見された同じ日、2022 年 7 月 17 日にアップデートをリリースしました」と同社は声明で述べています。 「Slack は影響を受けるすべての顧客に通知し、影響を受けるユーザーのパスワードはリセットされました。」
同社は、パスワードに使用されたハッシュアルゴリズムと、この事件がSlackのパスワード管理アーキテクチャのより広範な評価を促したかどうかについて、WIREDからのプレスタイムまでの質問に回答しませんでした.
セキュリティ企業 Scythe のサイバー脅威インテリジェンス担当ディレクターである Jake Williams 氏は、次のように述べています。 「Slack のようなアプリケーションは間違いなくセキュリティ テストを実行しますが、エッジ ケースの機能でのみ発生するこのようなバグは見逃されます。 そして明らかに、パスワードのような機密データに関しては、リスクが非常に高くなります。」
この状況は、サイロ化してパスワードなどの価値の高いデータへのアクセスを制限するように設計された、柔軟で使いやすい Web アプリケーションを設計するという課題を浮き彫りにしています。 Slack から通知を受け取った場合は、パスワードを変更して、 二要素認証 オン。 アカウントのアクセス ログを表示することもできます。