ちょっと不味いことなので、再度投稿しますね！！ 【 アプリを支えるプログラムに脆弱性？】 ～HTTP の脆弱性で複数のアプリにリスク ～ ■私も含めてできる現実的な対策 ①GrEarlさんの投稿を読む ②iPhoneならApp Store、AndroidならGoogle Playでアプリの更新を確認 ③よく使うサービスの公式サイトやお知らせで、セキュリティ情報を確認 ④自分でWebサービスを公開しているなら、サーバーのPHP・Node.jsのバージョンや依存ライブラリを調べる ■ ザックリまとめ ・PHP2Shell：PHPを使うWebサイトの「土台」の問題 ・Brotli2Shell：いろいろなソフトが使う「共通部品」の問題 今回の脆弱性は、Node.jsやPythonの一部ライブラリが使われていうソフトウェアやアプリに影響が広がる可能性 自分では使っているつもりがなくても、内部のライブラリが利用している場合があるのが厄介 ■ PHP2Shellとは何が違うの？ 〈PHP2Shell〉 PHPは、WordPressなどのWebサイトを動かすために使われるプログラミング言語 今回問題になったのは、PHP本体のメモリ処理の欠陥です 攻撃者が細工したWebリクエストを送り、ログインなしでサーバー上に不正なプログラムを実行できる可能性がありました 〈Brotli2Shell〉 こちらはHTTP通信で使われる「Brotli」というデータ圧縮技術の問題 Web通信では、データを小さくして送り、受け取った側で元に戻す仕組みが使われていて 今回見つかったのは、この「元に戻す処理」の欠陥。 細工された圧縮データを展開すると、本来書き込んではいけないメモリ領域まで書き換えてしまう可能性が指摘 こちらも条件次第では、ログインなしで不正なプログラムの実行できる恐れがあります。 ■ 何が厄介なの？ BrotliはNode.jsやPythonの一部ライブラリなど、さまざまなソフトウェアで使われています。 自分でBrotliを使うコードを書いていなくても、導入したライブラリの内部で利用されていることがあるんです。 つまり、 「自分はそんな機能を作っていない」 と思っていても、知らないうちに使っている共通部品が攻撃の入り口になる可能性がある。 成立条件は ・脆弱なバージョンを使用 ・攻撃者が細工したデータを、その処理に渡せる場合 ■ 実際にどんな被害が出るの？ 攻撃が成功した場合、想定される影響は結構深刻です ・サーバーが停止する ・内部の機密情報が漏れる ・不正なプログラムを実行される ・条件次第ではサーバーを乗っ取られる ただし、ここは区別が必要。 PHP2Shellでは、すでに攻撃試行が確認されています。 一方、Brotli2Shellでは攻撃手法を実証するコードが公開されているものの、今は実被は報告されていません ■ 私たちにできる対策 ①一般のPC・スマホユーザー OS・ブラウザ・アプリを最新に保つ。 ②Node.jsやPythonなどで開発している人 使用している実行環境やライブラリのバージョンを確認し、影響がある場合は修正版に更新する。自分で直接使っていない依存ライブラリも確認。 ③すぐに修正できない場合 公式の案内を確認し、問題のある圧縮データの展開処理を一時的に無効化するなどの対策を検討する。