.NET FrameworkやRuby、PHPもアップデートを

広範なWebアプリ開発言語にDoS攻撃につながる脆弱性

2012/01/06

 情報処理推進機構(IPA)は1月6日、広くWebアプリケーション構築に用いられている開発言語やフレームワークに、DoS攻撃につながる脆弱性が発見されたことを踏まえ、緊急対策情報を公開した。

 影響を受けるのは、PHPやRubyといった開発言語のほか、WebアプリケーションフレームワークのApache Tomcat、Microsoft .NET Frameworkなど。これらの言語が実装しているハッシュテーブル機構に脆弱性がある。わざとハッシュ値が同じ値になるようなパラメータを大量に送り付け、「ハッシュ衝突」状態を作り出すとDoS状態に陥ってしまう。いわゆる「Hashdos」という攻撃で、例えばPOSTフォームからこうしたデータを送信することで、Webアプリケーションが停止するなどの被害が考えられる。

 この脆弱性を踏まえ、マイクロソフトは2011年12月30日に、Microsoft .NET Frameworkの脆弱性を修正する緊急パッチを公開し、適用を呼び掛けた。Ruby Security Teamもそれに先立つ12月28日付で、脆弱性を修正したRuby 1.8.7-p357をリリースしている(Ruby 1.9系列は影響を受けない)。同じくApache Software Foundationも、脆弱性を修正したApache Tomcat 6.0.35/7.0.23を公開し、最新版へのアップデートを呼び掛けた。PHPについては、PHP 5.3.9で修正される見込みだ。

 アップデートを適用できない場合は、

  • リクエストごとの処理時間を制限する(PHPの場合、php.iniのmax_input_timeを短めに設定する)
  • POSTリクエストのサイズを制限する(PHPの場合、同じくphp.iniのpost_max_sizeを小さく設定する)

といった回避策があるという。また、より具体的な方法として、HASHコンサルティング代表取締役の徳丸浩氏は自身のブログで、mod_securityの導入も有効であることを検証し、設定方法を紹介している。

(1月11日追記)米国時間の1月10日に、ハッシュ衝突の問題を修正したPHP 5.3.9が公開された。

(@IT 高橋睦美)

情報をお寄せください:



Security&Trust フォーラム 新着記事

注目のテーマ

Security & Trust 記事ランキング

本日 月間