• BPnet
  • ビジネス
  • IT
  • テクノロジー
  • 医療
  • 建設・不動産
  • TRENDY
  • WOMAN
  • ショッピング
  • 転職
  • ナショジオ
  • 日経電子版
  • PR

  • PR

  • PR

  • PR

  • PR

CSIRTメモ

チェックしておきたい脆弱性情報<2012.01.12>

寺田 真敏=Hitachi Incident Response Team 2012/01/12 日経コミュニケーション

Hitach Incident Response Team

 1月1日までに明らかになった脆弱性情報のうち、気になるものを紹介します。それぞれ、ベンダーが提供する情報などを参考に対処してください。

Webサイトに対するハッシュテーブルの衝突を悪用したサービス不能(2011/12/29)

 2011年12月29日に、マイクロソフトからセキュリティアドバイザリー(2659883)「ASP.NETの脆弱性により、サービス拒否が起こる」が公開されました。ここでは、このアドバイザリーで取り上げられている、脆弱性(CVE-2011-3414、ハッシュテーブルの衝突がサービス拒否を引き起こす可能性のある脆弱性)がどのような問題なのかを概観します。

 脆弱性(CVE-2011-3414)は、Webアプリケーションに対して、CPU資源を浪費させるサービス不能攻撃を許してしまうという問題で、2011年12月28日に28th Chaos Communication Congressにおいて公表されました。この脆弱性は、HTTPリクエストのパラメーターを格納するハッシュテーブル処理に起因するものです。HTTPリクエストにハッシュテーブル上で衝突する(ハッシュ値が一致する)パラメーターが多数含まれている場合(図1)、ハッシュ値が一致するパラメーターの挿入、検索などの処理に高い負荷がかかり、これを悪用される可能性があります。「ハッシュが一致する」とは、キーのインデックスが一致することであり、一つのインデックスに多数のキー(例:['tt']['uU']['v6']・・・)がひも付いている場合には、効率的な処理ができないことを意味します。

 ハッシュテーブルの衝突を利用したサービス不能攻撃の可能性については2003年に国際会議USENIXで発表されており、今回、Webアプリケーションに対象に、この脆弱性によるサービス不能攻撃の可能性が明らかとなったという状況にあります(図2)。

図1●ハッシュテーブルの衝突の例
図1●ハッシュテーブルの衝突の例

図2●脆弱性(CVE-2011-3414)の対応経緯
図2●脆弱性(CVE-2011-3414)の対応経緯

 なお、脆弱性は、ASP.NETだけではなく、Java(すべてのバージョン)、JRuby(バージョン1.6.5以下)、PHP(バージョン5.3.8以下、5.4.0 RC3以下)、Python(すべてのバージョン)、Rubinius(すべてのバージョン)、Ruby(バージョン1.8.7-p356以下)、Apache Geronimo(すべてのバージョン)、Apache Tomcat(バージョン5.5.34以下、6.0.34以下、7.0.22以下)、Oracle Glassfish(バージョン3.1.1以下)、Jetty(すべてのバージョン)、Plone(すべてのバージョン)、Rack(バージョン1.3.5以下、1.2.4以下、1.1.2以下)、V8 JavaScript Engine(すべてのバージョン)にも同様に存在します。

 この脆弱性による影響をPHP(Apache 2.2.21+php-5.3.5-Win32-VC6-x86 on Windows XP)で調べてみると、ハッシュテーブル上で衝突するパラメーターを設定したHTTPアクセスの場合、パラメーター数が増えるに従い、処理時間とCPU使用率が増大します。図3は、ハッシュテーブル上で衝突するパラメーター数を増やしていった場合の処理時間です。パラメーター数が1万に達するまではパラメーターに手を入れていないHTTPアクセスと差はありませんが、パラメーター数が増えていくと処理時間が増大していくことが分かります。またCPU使用率については、パラメーター数5000で影響が現れていることが分かります(写真1)。

図3●HTTPリクエストのパラメーター数と処理時間
図3●HTTPリクエストのパラメーター数と処理時間

写真1●ハッシュテーブル上で衝突するパラメーターでのCPU使用率
写真1●ハッシュテーブル上で衝突するパラメーターでのCPU使用率

 PHP(CVE-2011-4885)では、PHP 5.4.0 RC4に、GET/POST/COOKIEで利用できるパラメーター数上限を指定するmax_input_vars(デフォルト1000)を導入しました。また、Apache Tomcat(CVE-2011-4084)では、暫定対策として、Tomcat 7.0.23とTomcat 6.0.35にGET/POSTで利用できるパラメーター数上限を指定するmaxParameterCount(デフォルト10000)を導入しました。

ここから先はITpro会員(無料)の登録が必要です。

次ページ 制御システム系製品の脆弱性
  • 1
  • 2

あなたにお薦め

連載新着

連載目次を見る

今のおすすめ記事

  • 【検証 通信市場】

    光回線は安くならない?卸料金の適正性を検証へ

     総務省が公表した2016年度の通信市場の検証結果(案)では、光回線の料金の低廉化が進展していない点を問題提起した。中でもNTT東西が展開する「光コラボレーションモデル」は卸料金を値下げするインセンティブが働かず、低廉化を期待できない状況と結論付けた。

ITpro SPECIALPR

What’s New!

経営

アプリケーション/DB/ミドルウエア

クラウド

運用管理

設計/開発

サーバー/ストレージ

ネットワーク/通信サービス

セキュリティ

もっと見る