エンジニアのためのセキュリティ攻略：共有＆学習シリーズ - CRLFインジェクション

このようなブログや記事を読む際、読者は句読点に助けられています。例えば、句点は文の終わりを示し、読点はリスト内の項目を区切ったり、一時停止を入れて考えを整理しやすくしたりします。優れたブログ（この記事のようなもの）では、句読点はほとんど意識されず、私たちが長年かけて習得してきた標準的な処理プロセスの一部として機能しています。

しかし、もしハッカーがこの記事に侵入し、間違った場所に奇妙な句読点を挿入したらどうなるでしょうか？例えば、こんな風に：

文章を、変えて！いないのに。情報、を。処理する？のが！ずっと、難しく？なって！しまいます。

CRLFインジェクション攻撃で起こるのは、まさにこれと同じことです。CRLFとは「Carriage Return（復帰）」と「Line Feed（改行）」の略で、これらは単独または組み合わせて行の終わりを示すために使用されます。攻撃者が既存のアプリケーションにCRコードやLFコードを挿入できる場合、その挙動を変化させられることがあります。その影響は他の多くの攻撃に比べて予測が困難ですが、標的となる組織にとっての危険性は決して低くありません。

本エピソードでは、以下の内容を学びます。

• 攻撃者がCRLFインジェクションを実行する方法
• CRLFインジェクションが危険な理由
• この脆弱性を修正する技術

攻撃者はどのようにCRLFインジェクションを実行するのか？

既存のコードにCRLF文字を注入して特定の意図した結果を生み出すことは、不可能ではありませんが、かなり困難です。攻撃者は標的システムのOSやその他の要因に応じて、異なるCRLFの組み合わせを使用する必要があるため、難易度はさらに高まります。例えば、最新のWindowsマシンでは行末にCRとLFの両方が必要ですが、LinuxではLFコードのみが必要です。HTTPリクエストでは、行末を示すために常に正確なCRLFコードが求められます。

CRLF攻撃は実装が難しく、結果の予測も困難ですが、他のインジェクション攻撃とほぼ同じ方法で開始されます。悪意のあるユーザーは、Webサイトやアプリケーションの入力可能な領域にデータを入力する際、通常の入力データの代わりに、あるいはその後にCRLFコードを入力するだけです。

例えば、攻撃者はHTTPSヘッダーの末尾に、復帰を表すASCIIコード（%0d）とそれに続く改行を表すASCIIコード（%0a）を入力する可能性があります。そのクエリ全体は以下のようになります：

https://validsite.com/index.php?page=home%0d%0a

データがサニタイズ（無害化）やフィルタリングされていない場合、上記のコードによって標的のアプリケーションやWebサイトで予期せぬ奇妙な動作が発生する可能性があります。

なぜCRLFインジェクションは危険なのか？

CRLFインジェクション攻撃は他の攻撃ほど精密ではありませんが、状況によっては非常に危険です。軽微な例では、余分な行が追加されることでログファイルが乱れ、自動化されたサイバーセキュリティ防御機能が誤って管理者に警告を発する可能性があります。しかし、これは同時に発生している実際の侵入から注意をそらすために悪用される恐れがあります。

また、CRLF攻撃は直接的な被害をもたらすこともあります。例えば、アプリケーションがコマンドを受け取って特定のファイルを検索するように設計されている場合、クエリにCRLFコードを追加することで、本来隠されているはずのプロセスが画面に表示されてしまい、攻撃者に貴重な情報を与えてしまう可能性があります。

CRLFインジェクションは「レスポンス分割攻撃」にも利用されます。これは、行末コードによって有効なレスポンスが複数の断片に分割される攻撃です。これにより、攻撃者はCRLFコード以降のヘッダーを制御し、追加のコードを注入できるようになります。また、CRLF攻撃によって分割された行以降に攻撃者が独自のコードを完全に注入し、別の攻撃を誘発するための入り口を作ることも可能です。

CRLFインジェクションの脆弱性を排除する

このシリーズを通じて最も重要な教訓があるとすれば、それは「ユーザー入力を決して信用してはならない」ということです。本シリーズで取り上げた脆弱性のほとんどは、何らかの形でユーザー入力領域に関連しており、CRLFインジェクションの欠陥も例外ではありません。

ユーザーが入力を行うすべての箇所において、アプリケーションやサーバーが誤って解釈する可能性のある不正なコードの挿入を防ぐため、フィルタリングを適用する必要があります。CRLFインジェクション攻撃に対しては、HTTPヘッダーの制限が特に重要ですが、GETやPOSTのパラメーター、さらにはCookieについても忘れてはなりません。CRLFコードが悪用されてさらなるインジェクションを引き起こすのを防ぐ優れた方法として、ユーザーのブラウザに送信されるすべてのデータに対してHTMLエンコードを適用することが挙げられます。

CRLFインジェクションに関する詳細情報

詳細については、OWASPによる CRLFインジェクション の解説をご覧ください。また、サイバーセキュリティチームを究極のサイバー戦士へと育成するSecure Code Warriorプラットフォームの 無料デモ を通じて、習得した防御知識を試すことも可能です。この脆弱性やその他の脅威への対策について詳しくは、Secure Code Warriorブログ をご覧ください。