HTTP/2 Desync Attacksを解説する

HTTP/2 Desync Attacks を解説する kuzushiki 第１１回初心者のためのセキュリティ勉強会 kuzu7shiki

今回の発表内容 HTTP/2: The Sequel is Always Worse James Kettle |
Director of Research, PortSwigger HTTP/1.1とHTTP/2との同期ズレ (DeSync) を突いた攻撃手法について第１１回初心者のためのセキュリティ勉強会 kuzu7shiki Black Hat USA 2021で興味深かった発表を紹介する 2 / 20

HTTP/1.1 第１１回初心者のためのセキュリティ勉強会 kuzu7shiki 3 / 20

HTTP/2 第１１回初心者のためのセキュリティ勉強会 kuzu7shiki 4 / 20

HTTP/2で追加された概念 Binary Protocol HTTP/1はテキストベースなので曖昧な文字列のパースが必要 ex) ヘッダの終わりを知るために「:」を探す TCPのようなバイナリのプロトコルを採用 Message Length HTTP/1ではメッセージボディの長さを以下のヘッダで定義
Content-Length Transfer-Encoding HTTP/2では削除メッセージボディに長さのフィールドが組み込まれているため不要メッセージ長を曖昧にする余地がほとんどない第１１回初心者のためのセキュリティ勉強会 kuzu7shiki 5 / 20

HTTP/2 Desync Attacks 第１１回初心者のためのセキュリティ勉強会 kuzu7shiki ようやく本題 6 / 20

Request smuggling via HTTP/2 downgrades プロトコルの違いを利用してリクエストを密輸 (smuggling) 第１１回初心者のためのセキュリティ勉強会 kuzu7shiki
7 / 20

H2.CL Desync on Netflix 第１１回初心者のためのセキュリティ勉強会 kuzu7shiki リアルワールドの脆弱性を紹介 8 /
20

Before HTTP/2ではContent-Lengthヘッダは不要なぜかRFCでは付与してもOK After リクエストを挿入し罠サイト 02.rs に誘導 Netflixのアカウントを侵害し，クレジットカード番号などの重要な情報を窃取できた報奨金は200万円
第１１回初心者のためのセキュリティ勉強会 kuzu7shiki 9 / 20

H2.TE Desync on Application Load Balancer 第１１回初心者のためのセキュリティ勉強会 kuzu7shiki リアルワールドの脆弱性を紹介
10 / 20

Before HTTP/2ではTransfer-EncodingヘッダはNG AWSはこれに従っていなかった After リクエストを挿入し罠サイト psres.net に誘導報奨金は70万円第１１回初心者のためのセキュリティ勉強会
kuzu7shiki 11 / 20

H2.TE via Request Header Injection 第１１回初心者のためのセキュリティ勉強会 kuzu7shiki リアルワールドの脆弱性を紹介 12
/ 20

Before HTTP/2はバイナリベース \r\nなどの特殊な文字列を挿入可能 After 被害者は悪意のあるNetlifyドメインからコンテンツを受け取ることに報奨金はMozilaから20万，Netlifyから20万円第１１回初心者のためのセキュリティ勉強会 kuzu7shiki
13 / 20

H2.X via Request Splitting 第１１回初心者のためのセキュリティ勉強会 kuzu7shiki リアルワールドの脆弱性を紹介 14 /
20

Before chunked encodingを使わず，2回の\r\nでリクエストを中断させようとした After しかし失敗フロントエンドはHostヘッダを\r\n\r\nで終わらせるため，独立したリクエストを挿入してしまったその結果．．． ->
第１１回初心者のためのセキュリティ勉強会 kuzu7shiki 15 / 20

結果，障害レベルの事態に 1回の通信で2つの独立したリクエストを送信してしまったリクエストとレスポンスが一つずれてしまった Set-Cookieヘッダを含むレスポンスがあったため，異なるユーザのアカウントにログインできてしまった Atlassianは全ユーザのセッションを失効することで対処報奨金は150万円著者はかなり影響が大きいと考えている第１１回初心者のためのセキュリティ勉強会
kuzu7shiki 16 / 20

Desync-Powered Request Tunnelling Smugglingの例とは異なり，IPごとにコネクションが張られている他ユーザのレスポンスに影響が出ないこの場合でもキャッシュポイゾニングが可能第１１回初心者のためのセキュリティ勉強会
kuzu7shiki 17 / 20

Tunnelling Exploitation: Cache Poisoning 第１１回初心者のためのセキュリティ勉強会 kuzu7shiki リアルワールドの脆弱性を紹介 18 /
20

Before POSTではレスポンスボディが大きすぎて上手く検知できず… HEADを用いてレスポンスボディをカット After 通常レスポンスヘッダはhtmlとしてみなされない今回はレスポンスボディとして解釈されているためXSSが発火この時点でキャッシュが汚染される他のユーザが /blog/?x=dontpoisoneveryone
にアクセスしてもXSSが発火報奨金は150万円第１１回初心者のためのセキュリティ勉強会 kuzu7shiki ` ` 19 / 20

おわりに HTTP/2 Desync Attacksを解説した報奨金の多さ（計560万円！）から，とても深刻な脆弱性だということが分かった紹介した脆弱性は以下のツールで発見できる（BApp Storeからインストール可） https://github.com/PortSwigger/http-request-smuggler E2EでHTTP/2を使うことが大切第１１回
初心者のためのセキュリティ勉強会 kuzu7shiki 20 / 20

HTTP/2 Desync Attacksを解説する

HTTP/2 Desync Attacksを解説する

kuzushiki

More Decks by kuzushiki

Other Decks in Technology

Featured

Transcript