ビットコイン決済ソフトのBTCPay Server（ビーティーシーペイ・サーバー）は8月8日、二要素認証（2FA）を迂回できる重大な脆弱性が悪用されているとして、最新版「v2.4.2」への速やかな更新を利用者に呼びかけた。
BTCPay ServerのGitHubによると、問題は外部アプリなどからサービスを操作する「Greenfield API」の認証機能にあった。
認証アプリを使った2FAを設定しているアカウントでも、特定の認証方法を使うと、メールアドレスとパスワードだけでAPIにアクセスできる状態だったという。
通常のログインではパスワード入力後に2FAによる本人確認が求められるが、今回の脆弱性では、API経由でその確認を行わずにアクセスが可能だった。
BTCPay Server側は、該当する方法でAPIにアクセスした場合、アカウントに付与された権限を利用できる可能性があったと説明している。
今回の問題で重要なのは、脆弱性が見つかっただけでなく、実際に悪用されていることをBTCPay Server側が確認している点だ。
v2.4.2では2FAを迂回できる問題を修正したほか、原因となったGreenfield APIのBasic認証についても、アカウント作成から5分後には初期設定で無効になるよう仕様を変更した。
BTCPay Serverは、仲介事業者を介さずにビットコイン（BTC）決済を受け付けられるオープンソースの決済ソフトウェアで、利用者自身がサーバーを管理するセルフホスト型で提供されている。
なお、BTCPay Serverは今回の脆弱性が悪用されていると説明しているものの、影響を受けた利用者数や具体的な攻撃事例、資金被害の有無・規模については公表していない。
｜文：NADA NEWS編集部
｜画像：Adobe Stockより
