エンジニアのためのセキュリティ攻略：共有＆学習シリーズ - メールヘッダーインジェクション

今日では、ウェブサイトやアプリケーションにおいて、ユーザーがメールを通じてフィードバックや予約のリマインダー、その他の情報を送信できるようにすることは一般的です。通常、このプロセスは無害なものと考えられており、多くの人はこれをセキュリティリスクとして認識すらしていません。

しかし、ユーザー入力を受け付ける他の設計要素と同様に、適切に設定されていなければ、こうした一見無害な機能も悪意のあるユーザーによって悪用される可能性があります。入力フィールドにコードを入力し、それがサーバーで誤って処理されるようにするだけで十分なのです。こうして、メール送信機能が攻撃の手段へと変貌してしまいます。

本エピソードでは、以下の内容を学びます。

• 攻撃者がどのようにメールヘッダーインジェクションを引き起こすのか
• なぜメールヘッダーインジェクションが危険なのか
• この脆弱性を修正するための手法

攻撃者はどのようにメールヘッダーインジェクションを引き起こすのか？

プログラム可能なものとはあまり考えられていませんが、ウェブサイトやアプリケーションに組み込まれたメール送信機能の多くは、クエリの性質を変更するような入力を受け付けてしまうことがあります。通常、これはユーザーがメールアドレスなどの情報を入力フィールドに入力した後、サーバーによって自動的に行われます。プログラムはメッセージを構成し、適切な宛先を追加して、デフォルトのメールサーバーを使用してメッセージを送信します。

一般的なメールのPOSTリクエストは、以下のようになります。

POST /contact.php HTTP/1.1
Host: www.example.com

そして、ユーザーが情報を入力した後に生成されるコードは、以下のようになります。

name=RealName&replyTo=RealName@ValidServer.com&message=YourAppointmentReminder

問題が発生するのは、ハッカーが単なる連絡先情報ではなく、コードをプロセスに注入し始めたときです。これはSQLインジェクション攻撃に似ていますが、メールアプリケーションに対して行われるものです。操作されたクエリの例として、アプリケーションからターゲットユーザーへスパムを送信させるようなものは、以下のようになります。

name=FakeName\nbcc: SpammedVictim@TargetAddress.com&replyTo= FakeName@ValidServer.com&message=Spammed message

なぜメールヘッダーインジェクションは危険なのか？

悪意のあるユーザーのスキルや意図にもよりますが、メールヘッダーインジェクション攻撃の深刻度は、単なる迷惑行為から非常に危険なものまで多岐にわたります。深刻度が低い場合でも、社内の秘密のメールボックスや非公開のメールボックス宛てに送信されるメッセージのBCCフィールドに連絡先情報を挿入し、それをハッカーに漏洩させるといったことが可能になります。

さらに懸念されるのは、攻撃者がメールサーバーを完全に制御し、組織からスパムやフィッシングメール、その他の攻撃メールを送信できるようになる可能性があることです。メールが内部サーバーから送信されているという事実を偽装する必要すらありません。実際にそこから送信されているからです。もしその活動を監視していなければ、攻撃者はプロセスを自動化し、組織のサーバーを使用して何百、何千ものメールを送信することさえ可能です。しかも、それが組織自身によって行われているかのように見せかけることができるのです。

メールヘッダーインジェクションの問題を排除する

As with SQL injection and other attacks of this nature, the key to eliminating the possibility that a malicious user will exploit an email header vulnerability is never trusting user input. If a user is able to enter information, even if it seems like a trivial process such as entering their email address, you have to assume the worst. Or at least assume that the worst is possible.

アプリやウェブサイトにメール連絡機能を追加する場合を含め、すべてのパラメータに対して入力バリデーションを実行する必要があります。ホワイトリストを使用すれば、有効とみなすプロセスやフィールドのみを明示的に許可し、それ以外をすべて拒否できます。実際、ほとんどのフレームワークには、必要な機能のみに制限をかけるためのライブラリが用意されています。これを利用することで、悪意のあるユーザーが入力したコードやコマンドがサーバーで認識・処理されるのを防ぐことができます。

メールヘッダーインジェクションに関する詳細情報

詳細については、OWASPによるメールヘッダーインジェクションの解説をご覧ください。また、身につけた防御知識を、サイバーセキュリティチームを最強のサイバー戦士へと育成するSecure Code Warriorプラットフォームの無料デモで試すことも可能です。この脆弱性やその他の脅威への対策について詳しくは、Secure Code Warriorブログをご覧ください。

今すぐメールインジェクションの発見と修正に挑戦してみませんか？プラットフォームにアクセスして、スキルを試してみましょう： [こちらから開始]