エンジニアのためのセキュリティ攻略：シェア＆ラーニングシリーズ - 未検証のリダイレクトと転送

検証されていないリダイレクトや転送を処理するWebサイトやアプリケーションを構築することは、ユーザーと組織の双方にとって極めて危険です。この一般的なミスは、フィッシング詐欺を企てる攻撃者や、本来制限されているはずのページや情報へのアクセスを狙う攻撃者に悪用されることがよくあります。

Webアプリケーションでユーザーを新しいページへ転送する設計を行う場合、そのリクエストが操作されたり乗っ取られたりする危険性があります。これは、転送先が意図しない場所を指さないようにするための検証プロセスが実装されていない場合に発生します。

幸いなことに、検証されていないリダイレクトや転送は、環境から排除するのが比較的容易な脆弱性の一つです。一度排除してしまえば、将来的に同様の問題が発生しないようにするための対策も簡単です。

本エピソードでは、以下の内容を学びます。

• 攻撃者はどのようにして検証されていないリダイレクトや転送の脆弱性を悪用するのか
• 検証されていないリダイレクトや転送を許可することがなぜ危険なのか
• この問題を特定し修正するために採用できるポリシーと手法

攻撃者はどのようにして検証されていないリダイレクトや転送を悪用するのか？

攻撃者はまず、ユーザーを特定のページへ転送するように設定されたWebアプリケーションを探します。転送先がコード内で定義されている場合、脆弱性は存在しません。例えばJavaの場合、ハイパーリンクをクリックさせるなどのユーザー操作を必要とせずに新しい場所へ送信する、安全で事前定義された方法は以下のようになります。

response.sendRedirect("http://www.knownsafesite.com");

脆弱性は、サイトがリダイレクトのためにユーザー入力を受け入れるようにプログラムされている場合や、他のソースから情報を取得するためにパラメータがオープンなままになっている場合に発生します。例えば、開発者が「url」GETパラメータを使用するケースなどが挙げられます。

response.sendRedirect(request.getParameter("url"));

これにより柔軟性は高まりますが、同時に検証されていないリダイレクトや転送の脆弱性が生じます。攻撃者はスラッシュの後に情報を追加することで、フィッシングメールの一部として、任意のサイトへリダイレクトさせることが可能になります。ユーザーはリンクの冒頭に信頼できるドメインが表示されているため、Webサイトが攻撃者のサイトへ転送する可能性があることに気づきません。

なぜ検証されていないリダイレクトや転送はこれほど危険なのか？

検証されていないリダイレクトや転送を許可することで生じる危険性は甚大です。ユーザーにとって最大の脅威は、フィッシング攻撃の被害に遭うことです。トップレベルのURLが表示されるため、ユーザーはフィッシングメールやその他の通信を信頼してリンクをクリックしやすくなります。転送先のページが本物のように見えれば、その欺瞞は非常に効果的です。ユーザーは自分が操作されているとは疑いもせず、ユーザー名やパスワード、その他の認証情報を入力してしまう可能性があります。

検証されていないリダイレクトや転送による脅威の排除

検証されていないリダイレクトや転送は、アプリケーションの開発段階で発生します。事後的に排除することも可能ですが、最も簡単な方法は、そもそもリダイレクトや転送機能の一部としてユーザーパラメータやオープンな文字列を許可しないことです。代わりに、ユーザーの転送先URLを厳密に定義し、変数を排除することで攻撃者の付け入る隙をなくしましょう。さらに言えば、リダイレクトや転送を一切使用しないことを検討するのも一つの手です。

リダイレクトや転送プロセスで変数を使用せざるを得ない場合は、リダイレクト先が有効な宛先リストに含まれていることを確認する検証プロセスを必ず実装してください。また、実際のURLの代わりにマッピング値を使用しましょう。攻撃者はURL情報を利用しようとしますが、マッピングスキームが使用されていると疑ったとしても、それを推測することは困難です。

検証されていないリダイレクトや転送に関する詳細情報

詳細については、OWASPのリファレンスページ（検証されていないリダイレクトと転送）をご覧ください。また、新たに得た防御の知識を、サイバーセキュリティチームを究極のサイバー戦士へと育成するSecure Code Warriorプラットフォームの無料デモで試すこともできます。この脆弱性やその他の脅威の撃退方法について詳しくは、Secure Code Warriorブログをご覧ください。

未検証のリダイレクトや転送の問題を根本から解決しましょう。習得した知識を活かし、ゲーミフィケーションを取り入れたトレーニングプラットフォームでスキルを試してみてください： [こちらから開始]