【Apache】【脆弱性】HTTPリクエストスマグリング攻撃について

Question

Webサイトにおける脆弱性の攻撃手法についてのご質問です。

JVNで公開されている情報を元にApacheの脆弱性調査をしている際、
下記の脆弱性情報が公開されていました。

◆Apache HTTP Server のチャンク形式転送コーディングの実装における HTTP リクエストスマグリング攻撃を実行される脆弱性
http://jvndb.jvn.jp/ja/contents/2015/JVNDB-2015-003798.html

上記説明において「チャンク形式転送」については理解できましたが、
「HTTPリクエストスマグリング」については漠然としか理解することができませんでした。
IPAを始めとして色々探してみましたが、情報が少なく、まともに説明しているサイトは下記以外見当たりませんでした。

◆HTTPリクエストスマグリングとは
http://www.checkpoint.co.jp/defense/advisories/public/2005/cpsa-2005-09.html

先日Webサイトに関する勉強会にも出席しましたが、講師の方に聞いても分からないとのこと。
(その方はセキュリティ専門家ではないので当然かもしれませんが・・)
そこで下記についてご質問させて頂きます。

①HTTPリクエストスマグリング攻撃に関する説明
②HTTPリクエストスマグリング攻撃の検証方法

当方、初心者の為分かりやすくご説明頂けるとありがたいです。
一応、LAMP環境の構築は一通りできる程度の知識は持っています。

よろしくお願いします。

Answer 1

①HTTPリクエストスマグリング攻撃に関する説明

• (A) フロントのWebサーバー(リバースプロキシー、ロードバランサー(L7)、WAF など)
• (B) バックエンドのWebサーバー

の2段構成の場合、クライアントからの HTTPリクエストを(A)が解析＆再構成して(B)に渡す処理(の欠陥、脆弱性)を悪用して、本来(B)に到達してはいけないリクエストが可能となる攻撃手法。

具体的な事例については説明できるほどの知見がないので、下記URLを参照ください。
HTTP Request Smuggling (PDF)
OWASPの説明
The Web Application Security Consortium Projectの説明

クライアントから(A)へのリクエストは、上記URLにある例(Content-Length が 2行)のように、RFC違反のものだったり、RFC違反ではないけれど普通ではないもので、それを受けた(A)はエラーを返したり、無害化して(B)に渡したりします。

しかし、(A)の実装に欠陥があると、本来のリクエストとは違うものが(B)に送られます。
攻撃者は(A)の実装に合わせて、(B)を攻撃するリクエストが(A)で組み立てられるよう細工して、(A)へのリクエストを作ります。

②HTTPリクエストスマグリング攻撃の検証方法

一般的なものとしては、以下でしょうか。
Testing for HTTP Splitting/Smuggling

あとは、(A)のソフトウェア、製品によって異なると思います。

Comments

[dakahii]

>TaichiYanagiyaさん

ご回答誠にありがとうございます。
解説サイトは英語ということで、今すぐ理解するのは難しいですが
少しずつ翻訳して読み進めていこうと思います。

また、追加で大変恐縮ですが、ご質問させてください。
①について、HTTPリクエストスマグリングはフロントのWebサーバに存在する脆弱性の一種であり、JVNが公表している上記Apacheの脆弱性は、(脆弱性のあるバージョンの)Apacheをフロントとして利用している場合にチャンク転送の欠陥を利用される･･という認識ですが相違なかったでしょうか？

[TaichiYanagiya]

具体的な例や検証コードがないのでわかりませんが、最初の回答の考えだと、Apache httpd が(A)の場合となります。

一方、HTTP Request Smuggling には (B)からの誤ったレスポンスで (A)のキャッシュを汚染するものも含まれるようですので、Apache httpd が(B)の場合も可能性があります。

[dakahii]

＞TaichiYanagiyaさん

コメントが遅れてしまい失礼しました。

度重なりご丁寧な回答ありがとうございます。
ベストアンサーとさせて頂きます。