Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

PHP脆弱性「CVE-2018-17082」 - キャッシュ汚染のおそれ

「PHP」に脆弱性「CVE-2018-17082」が見つかった問題で、同脆弱性によりウェブサーバのキャッシュへサイト運営者が意図しないスクリプトが埋め込まれるなど、攻撃者によって悪用される可能性があるとしてセキュリティ専門家が注意を呼びかけている。

PHPの開発チームが「クロスサイトスクリプティング(XSS)」としてした「CVE-2018-17082」について、セキュリティ専門家の徳丸浩氏が影響について分析。ブログを通じて注意喚起を行ったもの。

問題の脆弱性は、ヘッダにおけるチャンク形式転送エンコーディングの処理に問題があり、リクエストのボディの内容が、レスポンスに付加されるもの。

同氏は、「Apache」のモジュール「mod_cache」によりキャッシュを有効化している場合、同脆弱性を悪用することで、キャッシュの汚染が引き起こされるおそれがあると指摘している。

攻撃者が悪意あるスクリプトなどをボディに含むリクエストを送信すると、同脆弱性によってリクエストのボディ部分を含む不正なレスポンスが返され、キャッシュが汚染。

キャッシュが有効となっている期間は、正常なリクエストを行ったウェブサイトの閲覧者に対しても、レスポンスとして汚染されたキャッシュが返されるという。

対象となる環境では、利用するPHPのコードに関係なく攻撃が可能であり、パッチの適用など早急な対応が必要であるとして注意を呼びかけている。

(Security NEXT - 2018/10/02 ) このエントリーをはてなブックマークに追加

関連リンク

PR

関連記事

WordPressの人気テーマ「Divi」に深刻な脆弱性
Ciscoの複数ネットワーク管理製品に深刻な脆弱性 - 認証回避や遠隔操作のおそれ
IoT機器で広く採用される「Treck TCP/IP Stack」に深刻な脆弱性
横河電機の制御システム向けアラーム管理ソフトに複数脆弱性
「SKYSEA Client View」に脆弱性 - 緊急対応を
セキュアブート回避の脆弱性「BootHole」が判明 - LinuxやWindowsに影響
「BIG-IP」脆弱性問題でF5が侵害の調査方法を公開 - 米政府も注意喚起
Cisco ASAに脆弱性、悪用も確認 - 早急に更新を
トヨタ自動車の故障診断ツールに脆弱性 - ECU間の通信に判明
「Firefox 79」がリリース - 脆弱性10件を修正