クロスサイトトレーシング

クロスサイトトレーシング（XST）は、Webセキュリティにおける深刻な脆弱性の一つで、HTTP TRACEメソッドを悪用して行われるネットワークセキュリティ攻撃です。

XSTの概要

XST攻撃は、ActiveX、Flash、またはHTTP TRACEリクエストを可能にするその他のコントロールを悪用します。HTTP TRACEリクエストに対するサーバーの応答には、認証情報やHTTP Cookieを含むすべてのHTTPヘッダーが含まれており、これらが攻撃スクリプトによって利用されます。具体的には、攻撃者はこれらの情報を悪用して、ユーザーのセッションを乗っ取ったり、個人情報を盗んだりする可能性があります。

XSTの危険な点は、Webブラウザのクロスドメインアクセス制御の欠陥と組み合わせて利用されることです。これにより、たとえSSL/TLSで保護されているWebサイトであっても、キャッシュされた認証情報を収集することが可能になります。つまり、HTTPSを使用しているサイトでも、ユーザーが気付かないうちにXST攻撃の被害に遭う可能性があるということです。

XSTのメカニズム

1. HTTP TRACEメソッド: HTTP TRACEメソッドは、サーバーが受信したリクエストをそのままクライアントに返すためのデバッグ用の機能です。通常、このメソッドは本番環境では無効化されるべきですが、多くのサーバーではデフォルトで有効になっています。
2. クロスドメインアクセスの悪用: XST攻撃では、Webブラウザのクロスドメインアクセス制御の脆弱性を利用して、異なるドメイン間でのスクリプト実行を可能にします。これにより、攻撃者は悪意のあるスクリプトを介してユーザーのブラウザにHTTP TRACEリクエストを実行させ、その結果を読み取ることができます。
3. 認証情報の窃取: HTTP TRACE応答には、ユーザーの認証情報やCookieが含まれているため、攻撃者はこれらを盗み取ることができます。盗まれた情報を使って、攻撃者はユーザーになりすましてWebサイトにアクセスしたり、個人情報を取得したりすることが可能になります。

XST攻撃の対策

XST攻撃を防ぐためには、以下のような対策が必要です。

HTTP TRACEメソッドの無効化: Webサーバーの設定でHTTP TRACEメソッドを無効化することが最も効果的な対策です。これにより、攻撃者はXST攻撃に必要なリクエストを送信できなくなります。
クロスドメインアクセスの制御: Webブラウザのクロスドメインアクセス制御を強化することで、攻撃スクリプトによる不正なリクエストを防ぐことができます。
WAF（Web Application Firewall）の導入: WAFは、悪意のあるリクエストを検知し、ブロックするのに役立ちます。
セキュリティパッチの適用: Webサーバーや関連ソフトウェアの脆弱性を修正するために、定期的にセキュリティパッチを適用する必要があります。
HTTPSの強制: HTTPSを使用することで、通信内容を暗号化し、盗聴や改ざんのリスクを軽減することができます。

まとめ

クロスサイトトレーシング（XST）は、HTTP TRACEメソッドの悪用を伴う深刻なWebセキュリティの脆弱性であり、ユーザーの認証情報やCookieを盗む可能性があります。XST攻撃を防ぐためには、HTTP TRACEメソッドを無効化し、クロスドメインアクセスを制御することが重要です。また、セキュリティパッチの適用やWAFの導入、HTTPSの強制も効果的な対策となります。Web開発者は、XSTのリスクを理解し、適切な対策を講じることで、ユーザーの安全を守る必要があります。

参考資料

Cross-site tracing on use Perl
Vulnerability Note VU#867593 - Multiple vendors' web servers enable HTTP TRACE method by default
WhiteHat Security - Whitepaper - Cross-Site Tracing (XST)

もう一度検索