概要
- Formula 1 関連イベントで発見された脆弱性の調査事例
- FIA driver categorisation サイトにおける重大な権限昇格の問題
- HTTP PUTリクエスト による管理者権限の不正取得
- 個人情報や機密情報 への広範なアクセス可能性
- 発見から対応・公開までの経緯 を時系列で整理
F1イベントとサイバーセキュリティの関係
- 近年のセキュリティスタートアップ の資金調達増加
- CrowdStrike や Darktrace などがF1チームスポンサー
- Bitdefender は公式サイバーセキュリティパートナー契約
- Formula 1 Grand Prix を中心とした大規模ネットワーキングイベント
- サイバーセキュリティ業界関係者 のイベント参加体験
FIA Driver Categorisationポータルの概要
- FIA Super Licence 取得がF1参戦の必須条件
- Bronze/Silver/Gold/Platinum によるドライバーカテゴリ分け
- drivercategorisation.fia.com で自己登録・情報更新が可能
- Super Licence保持者 は自動的にPlatinum認定
- 申請時には身分証やレース履歴などの書類提出が必要
脆弱性の発見と検証
- HTTP PUTリクエスト でプロフィール更新を実施
- JSONレスポンス にrolesパラメータを発見
- JavaScript解析 で複数のロール存在を確認
- rolesパラメータ をADMINに書き換えたリクエストを試行
- 管理者権限の取得 に成功、管理用ダッシュボードへアクセス可能
取得できた情報とリスク
- ドライバーのパスワードハッシュ、メールアドレス、電話番号 などの個人情報
- パスポート、履歴書、ライセンス情報 へのアクセス
- 内部コミュニケーションや委員会決定内容 の閲覧
- Max Verstappen を含む全F1ドライバーの情報参照が可能
- 重大な個人情報漏洩リスク、ただし実際の閲覧・保存は行わず速やかに削除
脆弱性発見から公開までの対応経緯
- 2025年6月3日 ：FIAへ初回報告（メール・LinkedIn経由）
- 2025年6月3日 ：FIAより初動対応、該当サイトをオフライン化
- 2025年6月10日 ：FIAより包括的な修正完了の連絡
- 2025年10月22日 ：本ブログ記事の公開、情報開示
まとめ
- F1関連サイト における権限管理の重要性
- セキュリティテストの必要性 と責任ある情報開示の実践
- 業界全体への注意喚起 と今後の教訓