デシリアライズの脆弱性に対するパッチ適用の難しさ

先週、Equifaxのデータ侵害の原因として、Apache StrutsのRESTプラグインにおける脆弱性が指摘されました。このプラグインの旧バージョンは、XStreamハンドラーを使用してXMLペイロードを処理する際、リモートコード実行攻撃に対して脆弱です。その原因は信頼できないデータのデシリアライズであり、これはよく知られた脆弱性の一種です。この脆弱性は正式にCVE-2017-9805として認識されており、9月5日にリリースされたStrutsバージョン2.5.13で修正されました。その後、Apache Strutsのドキュメントにおいて発表および詳細な文書化が行われました。

最新のStrutsバージョンにアップグレードするだけでこの攻撃からアプリケーションを保護できますが、なぜ企業はすぐに対応しないのでしょうか。デシリアライズの脆弱性が抱える問題は、悪用されるルーチンがアプリケーションコードの動作に不可欠な場合が多い点にあります。今回の場合、新しいStrutsパッチを適用すると副作用が生じる可能性があります。脆弱性に関するドキュメントには、「利用可能なクラスに対するデフォルトの制限が適用されるため、一部のRESTアクションが機能しなくなる可能性がある」と記載されています。新しいバージョンのStrutsでアプリケーションが正常に動作することを確認するには、相応の時間が必要になる可能性が高いでしょう。

しかし、ハッカーは公開された脆弱性を悪用するのにそれほど時間を必要としません。すでにいくつかのエクスプロイトが公開されています。9月8日、つまりApacheが脆弱性を修正してからわずか3日後には、Metasploitのモジュールが追加されました。パッチの適用を先延ばしにするのは、明らかに賢明な判断ではありません。

解決策は、Apacheが推奨する回避策を実装することであり、これであれば短期間で対応可能です。設定可能なコーディングガイドラインを備えたセキュリティツールを使用してこの回避策を強制、あるいは自動適用できれば、対応プロセスを大幅に迅速化できるでしょう。

信頼できないデータのデシリアライズを含むコードの特定方法や保護方法について詳しく知りたい方は、Secure Code Warriorポータルでわかりやすい解説とトレーニング課題をご覧ください。

この脆弱性は、Strutsが当該データを解析し、Javaプログラミング言語で解釈可能な情報へと変換する仕組みに関連しています。脆弱性が悪用されると、データ内に悪意のあるコードが隠され、Strutsが変換を試みる際にそのコードが実行されてしまいます。

https://qz.com/1073221/the-hackers-who-broke-into-equifax-exploited-a-nine-year-old-security-flaw/