Tweet

.NET FrameworkやRuby、PHPもアップデートを

広範なWebアプリ開発言語にDoS攻撃につながる脆弱性

2012/01/06

　情報処理推進機構（IPA）は1月6日、広くWebアプリケーション構築に用いられている開発言語やフレームワークに、DoS攻撃につながる脆弱性が発見されたことを踏まえ、緊急対策情報を公開した。

　影響を受けるのは、PHPやRubyといった開発言語のほか、WebアプリケーションフレームワークのApache Tomcat、Microsoft .NET Frameworkなど。これらの言語が実装しているハッシュテーブル機構に脆弱性がある。わざとハッシュ値が同じ値になるようなパラメータを大量に送り付け、「ハッシュ衝突」状態を作り出すとDoS状態に陥ってしまう。いわゆる「Hashdos」という攻撃で、例えばPOSTフォームからこうしたデータを送信することで、Webアプリケーションが停止するなどの被害が考えられる。

　この脆弱性を踏まえ、マイクロソフトは2011年12月30日に、Microsoft .NET Frameworkの脆弱性を修正する緊急パッチを公開し、適用を呼び掛けた。Ruby Security Teamもそれに先立つ12月28日付で、脆弱性を修正したRuby 1.8.7-p357をリリースしている（Ruby 1.9系列は影響を受けない）。同じくApache Software Foundationも、脆弱性を修正したApache Tomcat 6.0.35／7.0.23を公開し、最新版へのアップデートを呼び掛けた。PHPについては、PHP 5.3.9で修正される見込みだ。

　アップデートを適用できない場合は、

• リクエストごとの処理時間を制限する（PHPの場合、php.iniのmax_input_timeを短めに設定する）
• POSTリクエストのサイズを制限する（PHPの場合、同じくphp.iniのpost_max_sizeを小さく設定する）

といった回避策があるという。また、より具体的な方法として、HASHコンサルティング代表取締役の徳丸浩氏は自身のブログで、mod_securityの導入も有効であることを検証し、設定方法を紹介している。

（1月11日追記）米国時間の1月10日に、ハッシュ衝突の問題を修正したPHP 5.3.9が公開された。