Apache Tomcatにおけるクロスサイトリクエストフォージェリ(CSRF)保護メカニズム回避の脆弱性

Size: px

Start display at page:

Download "Apache Tomcatにおけるクロスサイトリクエストフォージェリ(CSRF)保護メカニズム回避の脆弱性"

くにもとてらわ
7 years ago
Views:

1 Japan Computer Emergency Response Team Coordination Center 電子署名者 Japan Computer Emergency Response Team Coordination Center DN c=jp, st=tokyo, l=chiyoda-ku, o=japan Computer Emergency Response Team Coordination Center, cn=japan Computer Emergency Response Team Coordination Center 日付 '00' Javaアプリケーション脆弱性事例調査資料についてこの資料は Javaプログラマである皆様に脆弱性を身近な問題として感じてもらいセキュアコーディングの重要性を認識していただくことを目指して作成しています Javaセキュアコーディングスタンダード CERT/Oracle版と合わせてセキュアコーディングに関する理解を深めるためにご利用ください JPCERTコーディネーションセンターセキュアコーディングプロジェクト 1

jp, o=japan Computer Emergency Response Team Coordination Center, cn=japan Computer Emergency Response Team Coordination Center 日付 2013.09.

2 Apache Tomcat におけるクロスサイトリクエストフォージェリ (CSRF) 保護メカニズム回避の脆弱性 CVE JVNDB

3 Apache Tomcatとは Java Servlet や JavaServer Pages (JSP) を実行するためのサーブレットコンテナ(サーブレットエンジン) CSRF 対策のためにトークンを使ったリクエストフォームの検証機能が実装されている 3

4 脆弱性の概要 Apache Tomcatにはクロスサイトリクエストフォージェリ対策をバイパスできる脆弱性が存在する脆弱性を悪用されることで被害者が意図しない操作を実行させられる可能性がある Apache Tomcat 上で展開されるWebアプリケーションの機能を不正に実行させることが可能となる被害者バイパス!! 攻撃成功!! 4

5 通常の処理フロー Tomcat Webアプリケーションマネージャのサイト停止機能における処理フローを解説するサイト停止機能を実行する際のApache Tomcatの処理フロー 1 Tomcat Managerにクライアント(サイト管理者 )がBasic 認証でログインする 2 管理者画面にアクセス時にアプリケーションはトークンを発行しForm 要素に埋め込むさらにセッション変数にトークンを格納する 3 クライアントがサイト停止機能を実行しリクエストが送信される 4 アプリケーションは送信されてきたトークンとセッション変数に格納されているトークンが同一かを検証する 5 アプリケーションがリクエストを受信し処理を実行する 6 結果を含むレスポンスがクライアント(サイト管理者 )へ送信される 5

埋め込むさらにセッション変数にトークンを格納する 3 クライアントがサイト停止機能を実行しリクエストが送信される 4 アプリケーションは送信されてきたトークンとセッション変数

サイト停止機能実行時アプリケーションはリクエストを受信後 CSRFトークンを検証を実施し正規のトークンが送信されてきたときのみに機能を実行するセッションオブジェクトトークン検証!! サイトの停止 HTTPリクエストトークン GET /manager/html/stop?path=/&org.apache.

6 サイト停止機能実行時アプリケーションはリクエストを受信後 CSRFトークンを検証を実施し正規のトークンが送信されてきたときのみに機能を実行するセッションオブジェクトトークン検証!! サイトの停止 HTTPリクエストトークン GET /manager/html/stop?path=/&org.apache.catalina.filters.csrf_nonce=1a740989db7347fb6fe1ff02ec6a2c59 HTTP/1.1 Host Cookie JSESSIONID=F11C4A2BDEE A79D46F69B283E Authorization Basic Og== CSRFトークンは付与され検証もされている 6

catalina.filters.csrf_nonce=1a740989db7347fb6fe1ff02ec6a2c59 HTTP/1.1 Host www.example.

7 dofilterメソッドによるトークンの検証トークンの検証はCsrfPreventionFilterクラスの dofilter メソッドで実行される HTTPリクエストトークンの検証処理 CsrfPreventionFilter.java public class CsrfPreventionFilter public void dofilter( 7

8 dofilterメソッドによるトークンの検証セッションからトークンの取得 CsrfPreventionFilter.java public class CsrfPreventionFilter extends FilterBase { public void dofilter(servletrequest request, ServletResponse response,filterchain chain) throws IOException, ServletException { HttpServletRequest req = (HttpServletRequest) LruCache<String> noncecache = (LruCache<String>) req.getsession(true).getattribute( Constants.CSRF_NONCE_SESSION_ATTR_NAME); if (!skipnoncecheck) { 文字列 "org.apache.catalina.filters.csrf_nonce" String previousnonce = req.getparameter(constants.csrf_nonce_request_param);...(b) リクエストのセッションからセッション変数を取得し変数 noncecacheに格納するセッションオブジェクトトークン noncecache トークン if (noncecache!= null &&!noncecache.contains(previousnonce)) {...(C) res.senderror(httpservletresponse.sc_forbidden); //エラー処理 return; 8

$CSRF_NONCE_SESSION_ATTR_NAME); if (!skipnoncecheck) { 文字列 "org.apache.catalina.filters.csrf_nonce" String previousnonce = req.getparameter(constants.csrf_nonce_request_param);.$

9 dofilterメソッドによるトークンの検証リクエストからトークンの取得 CsrfPreventionFilter.java public class CsrfPreventionFilter extends FilterBase { public void dofilter(servletrequest request, ServletResponse response,filterchain chain) throws IOException, ServletException { HttpServletRequest req = (HttpServletRequest) LruCache<String> noncecache = (LruCache<String>) req.getsession(true).getattribute( Constants.CSRF_NONCE_SESSION_ATTR_NAME); リクエストのパラメータから変数を取得し変数 previousnonceに格納する HTTPリクエスト GET /manager/html/stop?path=/&org.apache.catalina.filters.csr F_NONCE=1A740989DB7347FB6FE1FF02EC6A2C59 HTTP/1.1 Host Cookie JSESSIONID=F11C4A2BDEE A79D46F69B283E Authorization Basic Og== if (!skipnoncecheck) { String previousnonce = req.getparameter(constants.csrf_nonce_request_param); previousnonce トークン if (noncecache!= null &&!noncecache.contains(previousnonce)) { res.senderror(httpservletresponse.sc_forbidden); //エラー処理 return; 文字列 "org.apache.catalina.filters.csrf_nonce" 9

HttpServletRequest req = (HttpServletRequest) request; @SuppressWarnings("unchecked") LruCache<String> noncecache = (LruCache<String>) req.getsession(true).getattribute( Constants.

10 dofilterメソッドによるトークンの取得トークンの比較 CsrfPreventionFilter.java トークンの検証処理を実行する public class CsrfPreventionFilter extends FilterBase 下記の2つの { 条件が両方とも成り立つ場合はエラーとして処理される public void dofilter(servletrequest request, ServletResponse 1 変数 noncecacheの response,filterchain 値に変数 chain) throws IOException, ServletException { 2 previousnonceが含まれていない変数 noncecacheがnullでない HttpServletRequest req = (HttpServletRequest) noncecache LruCache<String> noncecache = (LruCache<String>) req.getsession(true).getattribute( トークン Constants.CSRF_NONCE_SESSION_ATTR_NAME); 条件 1nonceCacheにpreviousNonce の値が含まれているか? previousnonc e トークン条件 2nonceCacheはnullでないか? if (!skipnoncecheck) { String previousnonce = req.getparameter(constants.csrf_nonce_request_param); noncecache トークン Is not null? if (noncecache!= null &&!noncecache.contains(previousnonce)) { res.senderror(httpservletresponse.sc_forbidden); //エラー処理 return; // 正常処理条件 1 2がともに成立しないときに正常処理となる 10

数 noncecacheの response,filterchain 値に変数 chain) throws IOException, ServletException { 2 previousnonceが含まれていない変数 noncecacheがnullでない HttpServletRequest req = (HttpServletRequest) request;

11 攻撃コード ( 正常なリクエストとの比較 ) 通常のリクエスト GET トークン /manager/html/stop?path=/&org.apache.catalina.filters.csrf_nonce=1a DB7347FB6FE1FF02EC6A2C59 HTTP/1.1 Host セッション Cookie JSESSIONID=F11C4A2BDEE A79D46F69B283E Authorization Basic Og== 攻撃コード GET /manager/html/stop?path=/ HTTP/1.1 Host Authorization Basic Og== ついていない攻撃コードのポイントリクエストに含まれるトークン (GETパラメータの ord.apache.catalina.filters.csrf_nonce) とセッション(Cookieヘッダ)が削除されている 11

com セッション Cookie JSESSIONID=F11C4A2BDEE2759214A79D46F69B283E Authorization Basic Og== 攻撃コード GET /manager/html/stop?

12 攻撃コード実行時の処理フローサイト停止機能を実行する際のApache Tomcatの処理フロー 1 Tomcat Managerにクライアント(サイト管理者 )がBasic 認証でログインする 2 管理者画面にアクセス時にアプリケーションはトークンを発行しForm 要素に埋め込むさらにセッション変数にトークンを格納する 3 クライアントがサイト停止機能を実行しリクエストが送信される 4 アプリケーションは送信されてきたトークンとセッション変数に格納されているトークンが同一かを検証する 5 アプリケーションがリクエストを受信し処理を実行する 6 結果を含むレスポンスがクライアント(サイト管理者 )へ送信される 4の検証処理が不十分だった!! 12

3 クライアントがサイト停止機能を実行しリクエストが送信される 4 アプリケーションは送信されてきたトークンとセッション変数に格納されているトークンが同一かを検証

13 4 送信されてきたトークンとセッション変数のトークンの検証 CsrfPreventionFilter.java public class CsrfPreventionFilter extends FilterBase { public void dofilter(servletrequest request, ServletResponse response,filterchain chain) throws IOException, ServletException { HttpServletRequest req = (HttpServletRequest) LruCache<String> noncecache = (LruCache<String>) req.getsession(true).getattribute( Constants.CSRF_NONCE_SESSION_ATTR_NAME); リクエストのセッションからセッション変数を取得し変数 noncecacheに格納するセッションオブジェクトトークン noncecache トークン if (!skipnoncecheck) { 文字列 "org.apache.catalina.filters.csrf_nonce" String previousnonce = req.getparameter(constants.csrf_nonce_request_param);...(b) noncecache null if (noncecache!= null &&!noncecache.contains(previousnonce)) {...(C) res.senderror(httpservletresponse.sc_forbidden); //エラー処理 return; 攻撃コードではセッションが削除されておりセッションオブジェクトが存在しないため nullが格納される 13

$CSRF_NONCE_SESSION_ATTR_NAME); リクエストのセッションからセッション変数を取得し変数 noncecacheに格納するセッションオブジェクトトークン noncecache トークン if (!skipnoncecheck) { 文字列 "org.apache.catalina.filters.$

14 4 送信されてきたトークンとセッション変数のトークンの検証 CsrfPreventionFilter.java public class CsrfPreventionFilter extends FilterBase { public void dofilter(servletrequest request, ServletResponse response,filterchain chain) throws IOException, ServletException { HttpServletRequest req = (HttpServletRequest) LruCache<String> noncecache = (LruCache<String>) req.getsession(true).getattribute( Constants.CSRF_NONCE_SESSION_ATTR_NAME); if (!skipnoncecheck) { String previousnonce = req.getparameter(constants.csrf_nonce_request_param); if (noncecache!= null &&!noncecache.contains(previousnonce)) {...(C) res.senderror(httpservletresponse.sc_forbidden); //エラー処理 return; リクエストのパラメータから変数を取得し変数 previousnonceに格納する HTTPリクエスト GET /manager/html/stop?path=/ HTTP/1.1 Host Authorization Basic Og== previousnonce null 攻撃コードにはトークンが含まれていないのでnullが格納される文字列 "org.apache.catalina.filters.csrf_nonce" 14

$CSRF_NONCE_SESSION_ATTR_NAME); if (!skipnoncecheck) { String previousnonce = req.getparameter(constants.csrf_nonce_request_param); if (noncecache!= null &&!noncecache.contains(previousnonce)) {.$

15 4 送信されてきたトークンとセッション変数のトークンの検証 CsrfPreventionFilter.java public class CsrfPreventionFilter extends FilterBase { public void dofilter(servletrequest request, ServletResponse response,filterchain chain) throws IOException, ServletException { HttpServletRequest req = (HttpServletRequest) 1 LruCache<String> noncecache = (LruCache<String>) req.getsession(true).getattribute( 2 Constants.CSRF_NONCE_SESSION_ATTR_NAME); if (!skipnoncecheck) { String previousnonce = req.getparameter(constants.csrf_nonce_request_param); if (noncecache!= null &&!noncecache.contains(previousnonce)) { res.senderror(httpservletresponse.sc_forbidden); //エラー処理 return; // 正常処理トークンの検証処理を実行する下記の2つの条件が両方とも成り立つ場合はエラーとして処理される変数 noncecacheの値に変数 previousnonceが含まれていない変数 noncecacheがnullでない 15

$CSRF_NONCE_SESSION_ATTR_NAME); if (!skipnoncecheck) { String previousnonce = req.getparameter(constants.csrf_nonce_request_param); if (noncecache!= null &&!noncecache.contains(previousnonce)) { res.$

16 4 送信されてきたトークンとセッション変数のトークンの検証 CsrfPreventionFilter.java 1は正常なトークンの検証処理のため問題ないが問題は2 public class CsrfPreventionFilter extends FilterBase { の条件変数 noncecacheがnull = セッションがそのものが存在 public void dofilter(servletrequest request, ServletResponse response,filterchain chain) しないでありセッション throws IOException, 自体を ServletException 削除する(Cookieヘッダを { 削除する)ことで変数 noncecacheがnullとなりこのトークンの検トークンの検証処理を実行する証 HttpServletRequest 処理をバイパスすることができる!! req = (HttpServletRequest) request; 下記の2つの条件が両方とも成り立つ場合はエラーとして処理 1 変数 noncecacheの値に変数 LruCache<String> noncecache = previousnonceが含まれていない (LruCache<String>) req.getsession(true).getattribute( 2 変数 noncecacheがnullでない Constants.CSRF_NONCE_SESSION_ATTR_NAME); if (!skipnoncecheck) { String previousnonce = req.getparameter(constants.csrf_nonce_request_param); if (noncecache!= null &&!noncecache.contains(previousnonce)) { res.senderror(httpservletresponse.sc_forbidden); //エラー処理 return; // 正常処理 16

ServletResponse response,filterchain chain) しないでありセッション throws IOException, 自体を ServletException 削除する(Cookieヘッダを { 削除する)ことで変数 noncecacheがnullとなりこのトークンの検トークンの検証処理を実行する証

セッションを削除したリクエストの処理通常セッションを削除 (Cookieヘッダを削除 )してしまうと Webアプリケーションはユーザーを認識できなくなり認証エラーが発生する通常の Webサイト一般のWebアプリセッション(Cookie)なしの HTTPリクエストしかし Apache TomcatのTomcat

17 セッションを削除したリクエストの処理通常セッションを削除 (Cookieヘッダを削除 )してしまうと Webアプリケーションはユーザーを認識できなくなり認証エラーが発生する通常の Webサイト一般のWebアプリセッション(Cookie)なしの HTTPリクエストしかし Apache TomcatのTomcat WebアプリケーションマネージャはBasic 認証を使用しており認証にセッション(Cookieヘッダ)を使用していない Basic 認証ではAuthorizationヘッダを使用するセッション(Cookie)なしの HTTPリクエスト CSRF 対策であるトークン検証処理にてセッション(Cookieヘッダ)が無い場合を想定していなかったため認証エラーが発生せず機能が実行されてしまう!! 17

を使用しており認証にセッション(Cookieヘッダ)を使用していない Basic 認証ではAuthorizationヘッダを使用するセッション(Cookie)なしの

18 今回のアプリケーションにおける具体的な問題点セッションが存在しないケース(Cookie 以外によるセッション管理 )を想定していなかったセッションが存在しない場合は CSRF 対策をパスしてしまっていた問題点に対してどうすべきだったかアプリケーションの仕様 ( 今回の場合はセッションの管理方式 )を確認し適切なCSRF 対策を選択する必要があった 18

をパスしてしまっていた問題点に対してどうすべきだったかアプリケーションの仕様 ( 今回の場合

19 修正版コード脆弱性はバージョンにて修正が適用されているサイト停止機能を実行する際のApache Tomcatの処理フロー 1 Tomcat Managerにクライアント(サイト管理者 )がBasic 認証でログインする 2 管理者画面にアクセス時にアプリケーションはトークンを発行しForm 要素に埋め込むさらにセッション変数にトークンを格納する 3 クライアントがサイト停止機能を実行しリクエストが送信される 4 アプリケーションは送信されてきたトークンとセッション変数に格納されているトークンが同一かを検証する 5 アプリケーションがリクエストを受信し処理を実行する 6 結果を含むレスポンスがクライアント(サイト管理者 )へ送信される 4の処理におけるコードが修正されている 19

36にて修正が適用されているサイト停止機能を実行する際のApache Tomcatの処理フロー 1 Tomcat Managerにクライアント(サイト管理者 )がBasic 認証

20 修正版コード public class CsrfPreventionFilter extends FilterBase { public void dofilter(servletrequest request, ServletResponse response,filterchain chain) throws IOException, ServletException { HttpServletRequest req = (HttpServletRequest) request; HttpSession session = LruCache<String> noncecache = (session == null)? null (LruCache<String>) session.getattribute( Constants.CSRF_NONCE_SESSION_ATTR_NAME); if (!skipnoncecheck) { String previousnonce = req.getparameter(constants.csrf_nonce_request_param); CsrfPreventionFilter.java if (noncecache == null previousnonce == null!noncecache.contains(previousnonce)) { res.senderror(denystatus); return; // 正常処理セッションがnullである場合またはリクエストにトークンが含まれていない場合はエラーとして処理する 20

$null (LruCache<String>) session.getattribute( Constants.CSRF_NONCE_SESSION_ATTR_NAME); if (!skipnoncecheck) { String previousnonce = req.getparameter(constants.$

参考文献 OWASP CSRFGuard Project https//www.owasp.org/index.

セッション対策リクエスト強要 (CSRF) 対策 https//www.ipa.go.

21 参考文献 OWASP CSRFGuard Project https// IPA ISEC セキュアプログラミング講座 Webアプリケーション編第 4 章セッション対策リクエスト強要 (CSRF) 対策 https// 安全なウェブサイトの作り方 IPA https// 21

22 著作権引用や二次利用について本資料の著作権はJPCERT/CCに帰属します本資料あるいはその一部を引用転載再配布する際は引用元名資料名および URL の明示をお願いします記載例引用元一般社団法人 JPCERTコーディネーションセンター Java アプリケーション脆弱性事例解説資料 Apache Tomcat における CSRF 保護メカニズム回避の脆弱性 https// 本資料を引用転載再配布をする際は引用先文書時期内容等の情報を JPCERT コーディネーションセンター広報知らせくださいなおこの連絡により取得した個人情報は別途定めるJPCERT コーディネーションセンターのプライバシーポリシーに則って取り扱います本資料の利用方法等に関するお問い合わせ JPCERTコーディネーションセンター広報担当本資料の技術的な内容に関するお問い合わせ JPCERTコーディネーションセンターセキュアコーディング担当 22

Spacewalkにおけるクロスサイトフォージェリ(CSRF)の脆弱性

Spacewalkにおけるクロスサイトフォージェリ(CSRF)の脆弱性 Japan Computer Emergency Response Team Coordination Center 電子署名者 : Japan Computer Emergency Response Team Coordination Center DN : c=jp, st=tokyo, l=chiyoda-ku, email=office@jpcert.or.jp, o=japan Computer