Equifax 2017年 適用されなかった Apache Struts の修正

修正は公表の当日に出ていた。社内の通知は当てる人に届かず、走査は古い Struts を見つけず、通信の検査装置は証明書が切れたまま素通しだった。1つの穴から、平文の資格情報と分けていないDBを伝って48のDBへ届き、76日のあいだ誰も気付かなかった。

入口は消費者の異議申立てのポータル ACIS で動く Apache Struts 2 の CVE-2017-5638。NVD の CVSS 3.1 の基本値は9.8、CWE-755 例外の状態の不適切な処理[4]。侵入は2017年5月13日から7月30日[6]。公表は2017年9月7日[5]。Equifax は修正を当ててからポータルを戻した[6]。調査会社の11の改善の勧告は、2018年8月に全て実施済みと Equifax と調査会社が下院の委員会に説明した[2]。2019年7月に FTC、CFPB、州と和解し、情報セキュリティの計画と2年ごとの外部の評価を課された[7]。2026年11月時点の公開資料で書いています。

何が起きたか

通った道筋

入口の弱点の型

S2-045 は、Jakarta の Multipart の解析器でファイルを上げる処理の弱点で、影響は 2.3.5 から 2.3.31 と、2.5 から 2.5.10[3]。開発元の説明では、Content-Type の値が正しくないと例外が出て、それが利用者へのエラーの文言の表示に使われ、その経路でコードを実行できる[3]。NVD は、例外の処理とエラーの文言の作り方の誤りとし、ヘッダの細工で任意の命令を実行できると書く[4]。ログインは要らず、ネットワークから届く[4]。

下は、同じ型を示す架空の最小の例で、Struts のコードではない。外から来た値が、例外の文言を通って、式を評価する部品に届く。

架空の文書受付API 例外の文言に外の値を混ぜて評価する

// 悪い例 文言の部品は ${...} を式として評価する
try {
  parser.parse(request);
} catch (InvalidHeaderException e) {
  // e.getMessage には、受け取った Content-Type の値がそのまま入る
  String msg = messages.render("upload.error", e.getMessage());
  return error(400, msg);
}

// 直した例 外の値は文言の材料にせず、決まった文言を返す
} catch (InvalidHeaderException e) {
  log.warn("invalid_content_type", Map.of("path", request.path()));
  return error(400, messages.fixed("upload.error"));
}

• 外から来た値を、評価や解釈をする部品へ渡さない。例外の文言も外から来た値を含みうる、と読む。
• エラーの時に詳しい文言を組み立てる処理は、ふだんの道より試されていない。A10 例外的な状況への不適切な対応 の詳しすぎるエラーと同じく、決まった文言を返し、細部はログへ回す。

なぜ修正が当たらなかったか

なぜ76日気付かなかったか

• ACIS への暗号化した通信は、検査装置で復号してから侵入検知と侵入防止の仕組みへ渡していた。証明書が切れても、装置の既定の設定は通信をそのまま ACIS へ通した。侵入検知と侵入防止は暗号化した通信を読めないので、何も見ていなかった[2]。
• 7月29日の夜に67の証明書を替えると、ほぼすぐ怪しい要求が見え、応答の多くが10MBを超えていた[2]。検知の仕組みそのものは働く状態にあり、止まっていたのは証明書1枚だった。
• 侵入の時点で少なくとも324の証明書が切れ、うち79は事業に重要なドメインを見る装置のものだった。2017年1月20日の社内の記録に、検査装置の証明書が無く、Webの攻撃が見えにくいとあった[2]。誰が証明書を替えるかが決まっていなかった[2]。

どこで止められたか

Equifax が後に挙げた原因も、見つける、検知する、分ける、データの統制の4つと、問い合わせの回数の制限の欠けだった[1]。調査会社の11の勧告には、脆弱性の走査と修正の管理の強化、持つ機微なデータを減らすこと、分離、Webアプリの防火壁、改ざんの検知、ログの強化、特権アカウントの管理、暗号化した通信の検査の強化などが並ぶ[2]。

守り方

動いている物の版を数える 架空の受付の仕組み portal.example.com

# 悪い例 上の階層の宣言だけを見る
grep -r "framework" /srv/portal/pom.xml

# 直した例 展開された物の全部の階層から、実際の jar を探す
find /srv/portal -type f -name '*.jar' -path '*framework-core*'

# 出力
/srv/portal/webapps/intake/WEB-INF/lib/framework-core-2.3.20.jar
/srv/portal/legacy/upload/WEB-INF/lib/framework-core-2.3.20.jar  # 宣言に無い2つ目

• 宣言と動いている物はずれる。古い環境では、宣言のファイルそのものが無いこともある。台帳は、サーバーに入って見た結果で作る。
• 見つけた版は、その部品の公表の文書の影響の範囲と比べる。S2-045 なら 2.3.5 から 2.3.31 と、2.5 から 2.5.10[3]。

AIに修正を頼むとき

• AIは、依存の宣言の版を上げる差分をすぐ作る。宣言の版が上がっても、動いている物の版が上がったとは限らない。この件の走査も、見に行った所だけを見て、無いと報告した[2]。AIの「直しました」は、動いている物の版を見てから受け取る。確かめ方の3段は AIの出力を確かめる にある。
• AIに台帳を作らせるなら、宣言のファイルを読ませるだけでなく、展開した物の全部の階層を数えさせ、宣言とのずれを出させる。

参照

1. GAO-18-559 Data Protection: Actions Taken by Equifax and Federal Agencies in Response to the 2017 Breach U.S. Government Accountability Office、2018年8月
2. The Equifax Data Breach U.S. House Committee on Oversight and Government Reform、多数派の職員の報告、2018年12月
3. S2-045 Apache Struts 2 Security Bulletin
4. CVE-2017-5638 NIST NVD
5. Equifax Announces Cybersecurity Incident Involving Consumer Information Equifax、2017年9月7日
6. Equifax Releases Details on Cybersecurity Incident, Announces Personnel Changes Equifax、2017年9月15日
7. Equifax to Pay $575 Million as Part of Settlement with FTC, CFPB, and States Related to 2017 Data Breach Federal Trade Commission、2019年7月22日