Microsoftのローコードアプリ開発ツールPower Appsポータルの設定ミスで約3800万件の個人情報漏えい

米セキュリティ企業のUpGuardは8月23日（現地時間）、米Microsoftの「Power Appsポータル」で作成された47の組織のアプリで、合計3800万件に上る個人情報の漏えいがあったと発表した。 UpGuardは5月にこの問題を発見し、Microsoftおよびデータを漏えいさせていた企業には通知済み。アプリの脆弱性のせいではなく、ある機能を初期設定のまま使うとホストされているデータが公開されてしまう仕様になっていたためだ。 Power Appsは、Microsoftが「だれでもローコードのアプリをすばやく構築して共有できる」と謳う、クラウドホスト型BI（ビジネスインテリジェンス）アプリ作成スイート。Power Appsポータルは、外部に公開するウェブサイトを作成できるツール。 今回の情報漏えいは、Power Appsポータルのリストからデータを取得するためのOData APIを

[smbd]

"ある機能を初期設定のまま使うとホストされているデータが公開されてしまう仕様になっていたためだ" ドッカデ キイタコト アリマスネ

[strawberryhunter]

昔はWindows, Linuxディストリビューションはじめ、デフォルトで危険な設定になっているソフトウェアが結構あったが、安全側に倒しておくべきだ。

[kazuau]

FirebaseのFirestoreは今でも非公開にするための初期設定けっこう大変だよね

[sisya]

システム開発を知らない人間が「簡単にできるじゃん」と言う状態を、自分たちでやってみると大惨事になると言うことだろう。専門家はシステムそのものよりも、それによって問題が発生しないことに神経をとがらす。

[iwanofsky]

手軽故に、これから増えるだろうなぁ

[shioki]

“Microsoftの公式ドキュメントには、設定を誤るとODataのフィードが公開されるという警告はあるが、Microsoft自身の複数のアプリでも設定が誤っていたとUpGuardは指摘する”

[theatrical]

この手の話って、初期設定非公開だと見えないぞとか文句来てサポートが大変になるから、デフォルト公開にしとこう。とかなのかな。

[saiid]

またこのパターン

[jt_noSke]

Oops!