狙われる甘〜いTomcat川口洋のセキュリティ・プライベート・アイズ(15)

» 2009年05月25日 10時00分 公開
[川口洋@IT]

 皆さんこんにちは、川口です。いま、この原稿を北海道の千歳空港のロビーで書いています。実は4月11日に札幌で行われた北海道情報セキュリティ勉強会(おもに札幌)(通称:セキュポロ)にご招待いただき、お話をさせていただきました。いままで広島、大阪の勉強会でお話させていただくことがありましたが、北海道は今回が初めてでした。

 セキュポロに参加して浮かんだキーワードは「熱い勉強会」、そして「甘いお菓子」です。北海道では、あっちにもこっちにもコミュニティができて、熱い勉強会をしているようです。これは東京をしのぐような熱さでした。特に「北海道開発オフ」では、ひたすら黙々とコーディングしているとのこと。なんて硬派なんでしょう。そして、もう1つのキーワード「甘いお菓子」の方ですが、今回出されたのはチーズケーキでした。これがとてもおいしくて、参加者の交流に一役買っておりました。

 そんな熱い勉強会と甘いお菓子に魅了されたセキュポロだったわけですが、今回のコラムは「甘い」Tomcatが狙われているお話です。

Tomcatの“便利な機能”が狙われる

 Tomcatを使い込んでいる人には常識だと思いますが、Tomcatには「Webアプリケーションマネージャ」という機能が存在します。2009年に入ってからこのWebアプリケーションマネージャの設定不備を悪用され、サーバに侵入されてしまうインシデントが複数発生しています。

【参考】

Tomcatのマネージャ機能に関する注意喚起
http://www.lac.co.jp/info/alert/alert20090327.html


 TomcatのWebアプリケーションマネージャでは、プログラムファイルのアップロード、配備、起動、停止を行えます。Webアプリケーションの開発者にとって非常に便利な機能ですが、ひとたび攻撃者に悪用されると非常に危険な攻撃機能に変身します。被害を受けた環境は以下のような状態でした。

  • Webアプリケーションマネージャを起動している
  • (多くの場合)Webアプリケーションマネージャを起動していることを認識していない
  • Webアプリケーションマネージャへ接続できるIPアドレスを制限していない
  • Webアプリケーションマネージャへ接続するBasic認証のユーザー名とパスワードが推測可能

 被害に遭われる方の多くは、「まさかそんなものが起動しているなんて」という状態でした。以前から、インターネットを通じてファイアウォールやルータの管理画面にアクセスされる事例もありましたが、それと同様の問題です。

 Webアプリケーションマネージャは8080/tcpで起動している環境が多いことから、攻撃者は8080/tcpに対してポートスキャンを行い、サービスが稼働しているサーバを調査したと推測されています。そして、Basic認証に対してブルートフォース攻撃を行うことでパスワードを推測し、Webアプリケーションマネージャに接続します。中国ドメインのサイトで、この一連の攻撃を行うツールの存在も確認されています。

図1 TomcatのWebアプリケーションマネージャへの攻撃ツール 図1 TomcatのWebアプリケーションマネージャへの攻撃ツール

 このような攻撃ツールを利用して、Webアプリケーションマネージャに接続した攻撃者はバックドアを送り込んでサーバを支配下におきます。攻撃者はこのバックドアを経由し、サーバのファイルの閲覧、ファイルの改ざん、不正なコマンドの実行を行います。これらはサーバを停止することなく操作が可能であるため、よほど注意深くシステムの状態を監視していないと発見するのは難しいでしょう。Webアプリケーションマネージャを動かしていて不安な人は

  • webappsディレクトリに見たことがないファイルがないか
  • Webアプリケーションマネージャが動いているポートに接続しているユーザーはいないか
  • 見たことがないプロセスが動いていないか

などを確認してみましょう。

根本にある「気付いていない」という問題

 Webアプリケーションマネージャを悪用される問題点として、管理者がWebアプリケーションマネージャが起動していること自体に気付いていないという点があります。Webアプリケーションマネージャが起動していることに気付いていなければ、そこに不審な動きがあったとしても発見できる確率は低くなるからです。

 さらにWebアプリケーションマネージャを経由してバックドアをアップロード、実行する通信は正規のアプリケーションの動きを通じて行われているため、IDS/IPS/WAFでは検知、防御することができません。これも攻撃の発見を遅らせている原因となっています。

 Tomcatをお使いの方は以下の対策をお勧めします。

  • 使用しないWebアプリケーションマネージャが起動していないか確認する
  • Webアプリケーションマネージャを使用しない場合は、停止する
  • Webアプリケーションマネージャを使用する場合は、接続できるIPアドレスを最小限に制限し、パスワードは複雑なものを設定する

【関連記事】

Java Solutionフォーラム
Javaセキュリティ インデックス
(Webアプリ脆弱性、アプリケーションサーバ脆弱性、暗号化など)

http://www.atmarkit.co.jp/fjava/channel/security.html


 セキュポロへの参加がきっかけで今回のコラムのネタができたわけですが、初めて会う方にまたもや「コラムみたいに、いつも飲んでるんですか?」「やっぱり飲みまくりなんですね」と言われてしまいました。

 ……そうです。皆様のご期待どおり、いつも飲みに行ってます。某アイドルのようにお酒に飲まれて謹慎処分を受けるようなことがないよう、気を付けながら今夜も飲みに行くのでした。

Profile

川口 洋(かわぐち ひろし)
株式会社ラック
JSOCチーフエバンジェリスト兼セキュリティアナリスト
CISSP

ラック入社後、IDSやファイアウォールなどの運用・管理業務をへて、セキュリティアナリストとして、JSOC監視サービスに従事し、日々セキュリティインシデントに対応。

アナリストリーダとして、セキュリティイベントの分析とともに、IDS/IPSに適用するJSOCオリジナルシグネチャ(JSIG)の作成、チューニングを実施し、監視サービスの技術面のコントロールを行う。

現在、JSOCチーフエバンジェリスト兼セキュリティアナリストとして、JSOC全体の技術面をコントロールし、監視報告会、セミナー講師など対外的な活動も行う。


「川口洋のセキュリティ・プライベート・アイズ」バックナンバー

Copyright © ITmedia, Inc. All Rights Reserved.

RSSについて

アイティメディアIDについて

メールマガジン登録

@ITのメールマガジンは、 もちろん、すべて無料です。ぜひメールマガジンをご購読ください。