セキュリティの現場から from バラクーダラボ(283) Internet Explorer 11に存在するUniversal XSS脆弱性からWebアプリケーションを守る

セキュリティ専門家であるデイビッド・レオ（David Leo）氏が、IE 11に存在する脆弱性を報告しました。Microsoftはこの脆弱性のパッチをまだ提供していません。このゼロデイ脆弱性はUniversal XSSと呼ばれ、IEに実装されているSOP（Same Origin Policy：同一生成元ポリシー）をバイパスします。SOPとは、他のサイトが設定したCookieやコンテンツをアクセス不能にするものです。

SOPをバイパスすることにより、攻撃者は他のドメイン（サイト）からあらゆる情報を盗み、別のドメイン（サイト）にあらゆるものをインジェクトできるようになります。

PoC（概念実証）が、ドメインdeusen.co.ukのこのページで公開されています。これは、攻撃元のドメインです。ターゲットドメインはdailymail.co.ukであり、コンテンツが「Hacked by Deusen」と書かれたWebページに変わってしまいます。

この攻撃を実行するには、細工をしたページに犠牲者を誘導する必要があります。このPoCでは、害のないコンテンツをDaily Mailのサイトページにインジェクトしていますが、銀行サイトのCookieを窃取すれば、犠牲者の銀行口座に自由にアクセスできてしまいます。また、他の証明書の窃取や悪意のあるコンテンツをターゲットドメインにインジェクトすることも可能です。

今回報告された脆弱性はクライアント側の脆弱性ですが、Barracuda Web Application Firewallがあれば、クリックジャック攻撃対策モジュールで対抗できます。しかも、わずか数クリックで簡単に設定できます。

クリックジャック攻撃に対抗するには、HTTP応答にX-Frame-Options HTTPヘッダをインジェクトし、値をDENYまたはSAMEORIGINに設定します。たとえば銀行のページを攻撃するにはiframeの表示が必要になりますが、応答に上記のヘッダが含まれている場合、IE（または最新のブラウザ）では攻撃者のドメインからiframeでこのページを表示できなくなります。

設定は、[WEBSITES::Advanced Security]ページを開き、スクロールして[Clickjacking Protection]セクションに移動します。各サービスで[Edit]をクリックし、編集ウィンドウを開きます。[Status]を[ON]に設定し、[Render Page Inside Iframe]を[Never]または[Same Origin]に設定します。