PR

 デンマークSecuniaなどは9月18日,Internet Explorer(IE)やMozilla,Firefox,KonquerorといったWebブラウザに,Cookieの取り扱いに関するセキュリティ・ホールがあることを公表した。悪用されると,正規ユーザーになりすました攻撃者にWebアプリケーションなどにログインされる可能性がある。ただし,危険性はそれほど高くはない。Secuniaでは,深刻度を「Less Critical」としている。ユーザーの対策は,信頼できないリンクをクリックしないこと。Konquerorについてのみ,修正パッチが公開されている

Cookieの取り扱いに問題

 WebブラウザとWebサーバーのやり取りに使われるHTTPは,ステート・レスなプロトコルである。Webサーバーには,あるHTTPアクセスが,同じユーザーからの連続したアクセスなのか,別のユーザーからのアクセスなのか区別できない。そこで,誰からのアクセスであるのかを識別するために,セッションを管理する必要がある。

 現在,セッション管理にはCookieがよく利用される。Webサーバーは,セッションIDを含めたCookieをWebブラウザに送信しておく。WebブラウザがそのWebサーバーにアクセスするたびにCookieは自動的に送信されるので,サーバーはどのユーザーからのアクセスなのかを識別できる。

 Webブラウザは,Cookieが送られてきたサーバー(ドメイン)へアクセスするときだけ,そのCookieを送信する。つまり,例えば「red.example.com」から送られたCookieは,red.example.comへアクセスするときだけ送信する。別のドメインから送られたCookieをred.example.comへ送信することはない。red.example.comから送られたCookieを別のドメインへ送信することもない。

 ところが,IEやMozillaなどは,あるドメインから送られたCookieを別のドメインへ送信する場合がある。つまり,悪意があるドメインから,正規のドメイン(Webでサービスを提供するドメイン)へ送られるCookieを送り込まれる危険性がある。それが,今回明らかにされたセキュリティ・ホールである。Secuniaでは「Cross-Domain Cookie Injection Vulnerability」と呼んでいる。

 もう少し具体的に説明しよう。Cookieには,「domain」属性と呼ばれるオプションがある。例えば,「domain=.example.com」としたCookieがred.example.comから送られてきた場合には,red.example.comだけではなく,ドメイン名が「.example.com」で終わるドメインにアクセスするときにはいつもそのCookieが送られることになる。

 ただし,domain属性にトップ・レベル・ドメイン(TLD)を指定した場合,例えば「domain=.com」などとした場合には,ブラウザはこのCookieを受け付けないようになっている。もしこれを許すと,悪意があるcomドメインから送り込まれたCookieを,他のcomドメインにアクセスするたびに送信することになるからだ。HTTPのセッション管理などを規定したRFC2965には,「The value for the Domain attribute contains no embedded dots」と記述されている。

 だが,実際にはこの規定だけでは不十分である。TLDではなく,「.co.uk」や「.ne.jp」のように,国別ドメインを持つドメインがあるからだ。例えば,red.example.co.ukから「domain=.co.uk」としたCookieが送られると,そのCookieは,.co.ukで終わるドメインすべてに送られることになる。実際,MozillaやFirefoxは,この仕様になっている。

 今回のセキュリティ・ホールを報告したWestpointによると(Secuniaの発表情報はWestpointの情報に基づいている),IEやKonquerorでは,RFC2965の規定に加えて,国別ドメインにも対応している。具体的には,domain属性に指定されたドメインが「セカンド・レベル・ドメインが2文字以下の場合(xx.yyやx.yyで終わるドメイン)」と「comやnet,milなどと国別ドメインの組み合わせの場合((com|net|mil|org|gov|edu|int).yy)には,そのCookieを受けつけないようにしている。

 しかしWestpointでは,これでも不十分だとしている。.ukドメインを例に取れば,「ltd.uk」「.plc.uk」「.sch.uk」「.nhs.uk」といったdomain属性は許してしまうからだ。IEや(パッチ未適用の)Konquerorでも,対象は限定されるものの,別のドメインへ送信するようなCookieを送り込まれる可能性があるのだ。

攻撃者がセッションIDを“指定”

 それでは,なぜ「悪意があるドメインから,正規のドメインへ送られるCookieを送り込まれる危険性がある」と,なりすましを許す恐れがあるのか。Cookieを盗まれれば,セッションIDを盗まれることになるので,なりすまされる危険性があるが,今回のセキュリティ・ホールは逆である。これを理解するには,他人のセッションIDを知る方法の一つである「Session Fixation(セッション固定)」攻撃を知る必要がある。

 通常,セッションIDを含むCookieは,正規のWebサーバーからユーザーのWebブラウザへ送信される。そして,そのセッションIDでWebサーバーはユーザーを識別する。このセッションIDを盗んで(あるいは推測して),そのユーザーになりすますのが「セッション・ハイジャック」などと呼ばれる攻撃である。

 セッション固定攻撃では,任意のセッションIDを埋め込んだCookieを,攻撃者のサイト(ドメイン)からユーザーのブラウザに送り込んでおく。具体的には,Webページやメールのリンクなどで,攻撃者のサイトへ誘導してCookieを送り込む。例えば,攻撃者のサイトが「mal-attacker.co.uk」の場合には,「domain=.co.uk」とし,セッションID(SID)に任意の文字列を含めたCookieを送り込んでおく。

 そうすれば,そのユーザーがMozillaあるいはFirefoxを使っている場合には,mal-attacker.co.ukに再びアクセスする場合だけではなく,.co.ukで終わるサイトにアクセスする際には,このCookieを送信することになる。そのユーザーが,例えばred.example.co.ukにアクセスした場合には,そのセッションIDでred.example.co.ukにログインを試みることになる。そのユーザーがログインに成功すれば,そのセッションIDは認証されたとみなされる。その後,攻撃者はそのセッションIDを使って,正規ユーザーになりすます。

 現実的なシナリオとしては,以下が想定できる。まず,攻撃者はmal-attacker.co.ukサイトを,red.example.co.ukに見せかけておく。そして,偽のメールなどでred.example.co.ukのユーザーを偽サイト(mal-attacker.co.uk)へ誘導し,任意のセッションIDを含むCookieを送り込む。その後,すぐにred.example.co.ukのログイン・ページにリダイレクトする。ユーザーがログインに成功したら,攻撃者は送り込んだCookieに記述したセッションIDで,そのユーザーになりすます――。

 セッション固定攻撃の詳細は,セキュリティ・ベンダーAcrosが2002年に公開した「Session Fixation Vulnerability in Web-based Applications」に詳しい(PDFファイル)。今回のセキュリティ・ホールがなくても,セッション固定攻撃は可能である。今回のセキュリティ・ホールは,セッション固定攻撃をしやすくするものである。とはいえ,セキュリティ・ホールを“利用”しても,セッション固定攻撃を“成功”させることは,それほど容易ではないと考えられる。しかし,このような攻撃方法が存在することを,ユーザーはもちろん,Webアプリケーションの開発者は知っておくべきだ。Acrosの情報には,開発者が施すべき対策が記述されているので,目を通すことをお勧めする。

◎参考資料
Multiple Browser Cookie Injection Vulnerabilities(Westpoint)
Internet Explorer Cross-Domain Cookie Injection Vulnerability(Secunia)
Mozilla/Mozilla Firefox Cross-Domain Cookie Injection Vulnerability(Secunia)
Konqueror Cross-Domain Cookie Injection Vulnerability(Secunia)
fix cookie domain checks to not allow .co.uk(Bugzilla)
Session Fixation Vulnerability in Web-based Applications(Acros Security,PDFファイル)
KDE Security Advisory: Konqueror Cross-Domain Cookie Injection

(勝村 幸博=IT Pro)