.NET FrameworkやRuby、PHPもアップデートを
広範なWebアプリ開発言語にDoS攻撃につながる脆弱性
2012/01/06
情報処理推進機構（IPA）は1月6日、広くWebアプリケーション構築に用いられている開発言語やフレームワークに、DoS攻撃につながる脆弱性が発見されたことを踏まえ、緊急対策情報を公開した。
影響を受けるのは、PHPやRubyといった開発言語のほか、WebアプリケーションフレームワークのApache Tomcat、Microsoft .NET Frameworkなど。これらの言語が実装しているハッシュテーブル機構に脆弱性がある。わざとハッシュ値が同じ値になるようなパラメータを大量に送り付け、「ハッシュ衝突」状態を作り出すとDoS状態に陥ってしまう。いわゆる「Hashdos」という攻撃で、例えばPOSTフォームからこうしたデータを送信することで、Webアプリケーションが停止するなどの被害が考えられる。
この脆弱性を踏まえ、マイクロソフトは2011年12月30日に、Microsoft .NET Frameworkの脆弱性を修正する緊急パッチを公開し、適用を呼び掛けた。Ruby Security Teamもそれに先立つ12月28日付で、脆弱性を修正したRuby 1.8.7-p357をリリースしている（Ruby 1.9系列は影響を受けない）。同じくApache Software Foundationも、脆弱性を修正したApache Tomcat 6.0.35／7.0.23を公開し、最新版へのアップデートを呼び掛けた。PHPについては、PHP 5.3.9で修正される見込みだ。
アップデートを適用できない場合は、
- リクエストごとの処理時間を制限する（PHPの場合、php.iniのmax_input_timeを短めに設定する）
- POSTリクエストのサイズを制限する（PHPの場合、同じくphp.iniのpost_max_sizeを小さく設定する）
といった回避策があるという。また、より具体的な方法として、HASHコンサルティング代表取締役の徳丸浩氏は自身のブログで、mod_securityの導入も有効であることを検証し、設定方法を紹介している。
（1月11日追記）米国時間の1月10日に、ハッシュ衝突の問題を修正したPHP 5.3.9が公開された。
関連リンク
情報をお寄せください：
- Windows起動前後にデバイスを守る工夫、ルートキットを防ぐ （2017/7/24）
Windows 10が備える多彩なセキュリティ対策機能を丸ごと理解するには、5つのスタックに分けて順に押さえていくことが早道だ。連載第1回は、Windows起動前の「デバイスの保護」とHyper-Vを用いたセキュリティ構成について紹介する。 - WannaCryがホンダやマクドにも。中学3年生が作ったランサムウェアの正体も話題に （2017/7/11）
2017年6月のセキュリティクラスタでは、「WannaCry」の残り火にやられたホンダや亜種に感染したマクドナルドに注目が集まった他、ランサムウェアを作成して配布した中学3年生、ランサムウェアに降伏してしまった韓国のホスティング企業など、5月に引き続きランサムウェアの話題が席巻していました。 - Recruit-CSIRTがマルウェアの「培養」用に内製した動的解析環境、その目的と工夫とは （2017/7/10）
代表的なマルウェア解析方法を紹介し、自社のみに影響があるマルウェアを「培養」するために構築した動的解析環境について解説する - 侵入されることを前提に考える――内部対策はログ管理から （2017/7/5）
人員リソースや予算の限られた中堅・中小企業にとって、大企業で導入されがちな、過剰に高機能で管理負荷の高いセキュリティ対策を施すのは現実的ではない。本連載では、中堅・中小企業が目指すべきセキュリティ対策の“現実解“を、特に標的型攻撃（APT：Advanced Persistent Threat）対策の観点から考える。
