CERT^® Advisory CA-2001-18
LDAP(Lightweight Directory Access Protocol)のさまざまな実装に見られる複数の脆弱性

Original release date: July 16, 2001
 
Last revised: --

Source: CERT/CC

本文書の原文は http://www.cert.org/advisories/CA-2001-18.htmlである。

本文書の完全な更新履歴は末尾にある。

影響のあるシステム

LDAP (Lightweigh Directory Access Protocol)プロトコルを実装した ものの複数について、サービス拒否(DoS)攻撃、オーソライズされない特権的 アクセスのいずれかまたは両方を許してしまうような脆弱性が存在する。 この勧告に挙げられている製品のどれかをサイトで利用している場合、以下の 解決策セクションで提供している助言に従うこと をCERT/CCは推奨するものである。

LDAPプロトコルは、X.500 ディレクトリセマンティクスをサポートするディレクトリに、他のX.500のリソース を必要とすることなくアクセスできるようにするものである。ディレクトリとは名前、 アドレス、アクセス制御リスト、暗号化された認証書といった情報の蓄積物の ことである。LDAPサーバは企業の連絡情報(contact information)を維持管理したり、 認証サービス提供したりする上で広く利用されているため、その完全性、安定性に 対する脅威は何であれ、組織のセキュリティを危険にさらすことになる。

LDAPのようなプロトコルのセキュリティを検証するために、PROTOSプロジェクト は、パケット見本として予期しない値や不正なフォーマットのデータを含むもの を用意したサーバを提供している。これを利用することで、通常の状況では 顕現しないような脆弱性が明らかになることがある。PROTOSプロジェクト コンソーティアムのメンバーとして、Oulu University Secure Programming Group (OUSPG) は PROTOS LDAPv3テストスイーツを共同開発し、活用することによって、LDAPプロトコル の実装をいくつも研究してきた。

PROTOS LDAPv3 テストスイーツは大きく2つのセクションに分かれている。 一つは"エンコード"セクションであり、LDAPサーバが Basic Encoding Rules (BER)に違反するようなパケットにどのように 応答するかを検証する。もう一つは"アプリケーション"セクションであり、 LDAPサーバが、LDAPが原因となるアプリケーションの異常を引き起こすよう なパケットにどのように応答するかを検証する。各セクションはさらにいくつか の"グループ"に分かれ、全体として、特定のエンコード機能やアプリケーション機能を 検証していく。各グループには1つないし複数の"テスト事例"がある。これは 個別の例外状況を検証するのに利用されるネットワークパケットのことである。

PROTOS LDAPv3テストスイーツをLDAPが使用可能な製品のうち広く用いられている ものに適用することにより、OUSPGは次のような脆弱性を明らかにした。

VU#276944 - iPlanet Directory ServerにはLDAPを扱うコードに複数の脆弱性がある。

The iPlanet Directory ServerにはLDAPリクエストを処理するコードに複数の 脆弱性がある。

テストスイーツのエンコードセクションにおいて、この製品は長さフィールド (length fields)が不正なBER長のものを検証するグループにおいて不定数の 失敗があった。

テストスイーツのアプリケーションセクションでは、この製品は4つのグループ で失敗し、さらに5つのグループで非決定的な結果を得た。失敗した4つの グループが示しているのはバッファオーバフローの脆弱性が存在するという ことである。非決定的な結果のグループが示しているのは、この製品は フォーマットストリングに関する脆弱性を検証している際に疑わしい動作を した、ということである。

VU#505564 - IBM SecureWay DirectoryはLDAPを扱うコードを介したサービス拒否(DoS)攻撃に 脆弱である。

IBM SecureWay Directoryサーバは、LDAPリクエストを処理するコードに 1つないし複数の脆弱性がある。こうした脆弱性はPROTOS LDAPv3テストスイ−ツ を使うことで、IBMとは別個に発見された。CERT/CCはこの脆弱性の 性質がどのようなものであるか、現在明らかでない。

VU#583184 - Lotus Domino R5サーバファミリーにはLDAPを扱うコードに複数の脆弱性がある。

The Lotus Domino R5サーバファミリー (エンタープライズ版、アプリケーション版、 メール版の各サーバを含む)にはLDAPリクエストを処理するコードに複数の脆弱性 が存在する。

テストスイーツのエンコードセクションにおいて、この製品は77グループのうち1つで 失敗した。この失敗したグループが検証するのは、完全に妥当とは言えない(semi-valid) BERエンコードされたものを含むさまざまなパケットにサーバがどう応答するかである。

テストスイーツのアプリケーションセクションでは、この製品は77グループの うち23グループで失敗した。この結果が示しているのは、さまざまなアプリケーション コンポーネントにバッファオーバフローならびにフォーマットストリングの 脆弱性が存在する可能性がある、ということである。

VU#688960 - Teamware OfficeにはLDAPを処理するコードに複数の脆弱性が存在する。

Teamware Officeスイーツはディレクトリサービスを提供するX.500/LDAPサーバ が同梱されている。このOffice製品の複数のバージョンに、PROTOS LDAPv3テスト スイーツによって送信されるトラフィックに応答した結果、LDAPサーバがクラッシュ するという脆弱性が存在する。

テストスイーツのエンコードセクションにおいて、この製品は複数のBERオブジェクト タイプに不正なエンコードがあるような16グループのうち9つについて失敗した。

テストスイーツのアプリケーションセクションにおいては、この製品は32グループのうち4つで 失敗した。残る45グループはテストが実行される際に実行されていなかった。 失敗した4つのグループはバッファオーバフローの脆弱性が 存在することを示している。

VU#717380 - Qualcomm Eudora WorldMail ServerのLDAPを 処理するコードには潜在的な脆弱性が存在するかもしれない。

OUSPGが報告した脆弱性を調査している際、Eudora WorldMail ServerはPROTOS テストスイーツを介して引き起こされる可能性のある脆弱性が存在するかも しれないということが気になった。CERT/CCはこの可能性をQualcommに報告して おり、現在は調査を中断している。

VU#763400 - Microsoft Exchange 5.5 LDAPサービスはサービス拒否(DoS)攻撃に脆弱である。

スイーツによって生成された不正な形式の LDAPリクエストに応答しようとしてフリーズするという脆弱性がある。これはLDAP サービスにのみ影響する。他のExchangeサービスはメールの取り扱いも含め、 正常に動作しつづける。

この製品はOUSPGの初期検証には含まれていなかったが、その後に非公式に検証 した結果、Microsoft Exchange 5.5のLDAPサービスは、LDAPのフィルタタイプ フィールドに例外的なBERエンコードがあるようなテスト事例を処理する際に 応答できなくなることが判明した。

VU#765256 - Network Associates PGP KeyserverはLDAPを処理するコードに複数の脆弱性が存在する。

The Network Associates PGP Keyserver 7.0 はLDAPリクエストを処理するコードに複数の脆弱性が存在する。

テストスイーツのエンコードセクションにおいて、この製品は16グループの うち12に失敗した。

テストスイーツのアプリケーションセクションにおいては、この製品は77グループ のうちの1つで失敗した。この失敗したグループは、メッセージIDパラメータ に上限以上のインテジャ値(out-of-bounds integer values)がある場合に焦点 を当てるものであった。この検証グループの特徴からして、この失敗は実際には エンコードの失敗を表している可能性がある。

VU#869184 - Oracle 8iエンタープライズ版はLDAPを処理するコードに複数の脆弱性が存在する。

Oracle 8iエンタープライズ版は、LDAPリクエストを処理するのに使われる コードに複数の脆弱性が存在する。

テストスイーツのエンコードセクションにおいて、この製品は、BER OBJECT-IDENTIFIER値の不正なエンコードにサーバがどう応答するかを検証する グループのテスト事例について不定数(an indeterminate number of)失敗した。

テストスイーツのアプリケーションセクションにおいては、この製品は77グループ のうち46で失敗した。この結果が示しているのは、さまざまなアプリケーション コンポーネントにバッファオーバフロー並びにフォーマットストリングの脆弱性 が存在するであろうということである。

VU#935800 - OpenLDAPのいくつかのバージョンはサービス拒否(DoS)攻撃に脆弱である。

LDAPプロトコルのOpenLDAPによる実装には複数の脆弱性がある。こうした 脆弱性が存在するのは、ネットワークダイアグラムをアプリケーション固有 の情報に変換するコード部分である。

テストスイーツのエンコードセクションにおいて、この実装は、長さフィールド が不正なBER長のものの取り扱い(the handling of invalid BER length of length fields)を検証するグループで失敗した。

テストスイーツのアプリケーションセクションにおいては、この実装は6685の テストケースすべてでパスしている。

追加情報

http://www.kb.cert.org/vuls/

上記でまとめた検証結果は全体的なソフトウェア品質について述べたものと 解釈されるべきではないことに注意して欲しい。しかし、CERT/CCは、 こうした結果は今回のような脆弱性の特徴を記述するのに有益であると 考えている。例えば、複数のグループで失敗するアプリケーションは コードの一箇所にではなく、さまざまな箇所に問題が存在するという ことを露呈しているのである。

II. 影響

VU#276944 - iPlanet Directory ServerにはLDAPを処理するコードに複数の脆弱性が存在する。

こうした脆弱性の一つないし複数によって、リモートの攻撃者はDirectory Server の権限で任意のコードを実行できるようになる。このサーバは典型的にはシステム 権限で動作している。実験室環境においては、こうした脆弱性 のうち少なくとも一つにつけこむことにWindows NT 4.0上で成功しているが、 他のプラットフォームでも同様の危険性が存在する可能性がある。

VU#505564 - IBM SecureWay DirectoryはLDAPを処理するコードを介したサービス拒否(DoS)攻撃に 脆弱である。

こうした脆弱性により、リモートの攻撃者は影響のあるSecureWay Directoryサーバ をクラッシュさせ、サービス拒否(DoS)状況を作り出すことができる。現時点では こうした脆弱性によって攻撃者が任意のコードを実行できるかどうかは不明である。 こうした脆弱性はSolaris並びにWindows 2000上では存在するが、Windows NT, AIX, SSLを使用しているAIXでは存在しない。

VU#583184 - Lotus Domino R5サーバファミリーにはLDAPを処理するコードに複数の脆弱性が 存在する。

こうした脆弱性の一つないし複数によって、リモートの攻撃者はDominoサーバ の権限で任意のコードを実行できるようになる。このサーバは典型的にはシステム 権限で動作している。実験室環境においては、こうした脆弱性 のうち少なくとも一つにつけこむことに成功している。

VU#688960 - Teamware OfficeにはLDAPを処理するコードに複数の脆弱性が存在する。

こうした脆弱性により、リモートの攻撃者は影響のあるTeamware LDAPサーバ をクラッシュさせ、サービス拒否(DoS)状況を作り出すことができる。 また、Teamwareサーバの権限で任意のコードを実行できるようになる。 このサーバは典型的にはシステム権限で動作視している。

VU#717380 - Qualcomm Eudora WorldMailサーバのLDAPを処理するコードに潜在的な脆弱性が ある可能性がある。

CERT/CCはこの脆弱性の影響度がどの程度かまだ明らかではない。

VU#763400 - Microsoft Exchange 5.5 LDAPサービスはサービス拒否(DoS)攻撃に脆弱である。

この脆弱性により、リモートの攻撃者は脆弱なExchange 5.5サーバのLDAP コンポーネントをクラッシュさせ、その結果、LDAPコンポーネント内で サービス拒否(DoS)状態になる。

VU#765256 - Network Associates PGP KeyserverにはLDAPを処理するコードに複数の脆弱性が存在する。

こうした脆弱性の一つないし複数が存在することで、リモートの攻撃者は Keyserverの権限で任意のコードを実行できるようになる。このサーバは 典型的にはシステム権限で動作している。実験室環境においては、こうした脆弱性 のうち少なくとも一つにつけこむことに成功している。

VU#869184 - Oracle 8i Enterprise Editionには、LDAPを処理するコードに複数の脆弱性が存在する。

こうした脆弱性の一つないし複数が存在することで、リモートの攻撃者は Oracleサーバの権限で任意のコードを実行できるようになる。このサーバは 典型的にはシステム権限で動作している。実験室環境においては、こうした脆弱性 のうち少なくとも一つにつけこむことに成功している。

VU#935800 - OpenLDAPの複数のバージョンでサービス拒否(DoS)攻撃に対する脆弱性が 存在する。

こうした脆弱性があることで、リモートの攻撃者は影響のあるOpenLDAPサーバ をクラッシュさせ、その結果、サービス拒否(DoS)状態に陥らせることができる。

III. 解決策

Appendix Aにこの勧告に対するベンダから提供された 情報を掲載している。アペンディクスを参照し、ベンダに直接連絡を取る必要が あるかどうかを検討されたい。

ネットワーク境界(perimeter)においてディレクトリサービスへのアクセスを ブロックせよ。

一時的な対処であるが、ネットワーク 境界でディレクトリサービスへのアクセスをブロックすることで、 こうした脆弱性に付け込まれる範囲を小さくすることができる。この回避策は 内部からの攻撃に対しては脆弱な製品を保護しないことに注意されたい。

ldap    389/tcp     # Lightweight Directory Access Protocol 
ldap    389/udp     # Lightweight Directory Access Protocol 
ldaps   636/tcp     # ldap protocol over TLS/SSL (was sldap) 
ldaps   636/udp     # ldap protocol over TLS/SSL (was sldap)

修正パッチは影響を受けるプラットフォーム用の各ダウンロードサイト (IBMないしTivoliのもの)に掲載される。修正版配布サイトへのリンクについて はhttp://www-1.ibm.com/supportの"Server Downloads"または"Software Downloads" にアクセスすること。

iPlanet E-Commerce Solutions

[CERT/CC Addendum: ここで挙げた脆弱性は元々Directory Server 5.0βで 発見され、後になって、4.13並びにそれまでのバージョンでも存在することが 判明した。ここで挙げた脆弱性への対処はDirectory Server 5.0のリリース版で なされている。]

Lotus Development Corporation

Lotusはこの問題をOUSPGが報告したものとして次で再文書化している。 SPR#DWUU4W6NC8.

Lotusはセキュリティ問題を最優先の問題と捉えており、この問題を解決するため、 Dominoのメンテナンスアップデートで迅速に対応した。これは2001年5月18日に リリースしたDomino R5.0.7aで対処されており、このリリースはNotes.netの 以下でダウンロードできる。

http://www.notes.net/qmrdown.nsf/qmrwelcome.

修正は次の修正リストのところに文書化されている。

http://www.notes.net/r5fixlist.nsf/Search!SearchView&Query=DWUU4W6NC8

http://www.microsoft.com/support/

http://www.pgp.com/downloads/default.asp

[CERT/CC Addendum: ここで挙げた脆弱性への対処として、OpenLDAPプロジェクト はLDAPv2環境での利用のためにOpenLDAP 1.2.12を、LDAPv3環境での利用のために OpenLDAP 2.0.8をリリースした。OpenLDAPのユーザはソフトウェアベンダに連絡を 取るか、最新版を以下のところから自力で入手することをCERT/CCは推奨する。 http://www.openLDAP.org/software/download/.]

QUALCOMM Incorporated

WorldMailのLDAPサービスはこの攻撃に対して脆弱性である可能性はあるが、 われわれのこれまでの検証では定かとなっていない。現時点では、すべてのWorldMail の顧客が、LDAPサービスを組織外からや信頼できないユーザからアクセスでき ないようにすることを強く推奨する。

The Teamware Group

[CERT/CC Addendum: Teamwareはこの問題について彼らが発行する "Teamware Solution Database"で追加文書を提供しており、以下で入手できる。 http://support.teamw.com/Online/s_database1.shtml. 登録ユーザはこうした脆弱性についての情報をWindows NT用としては文書#010703-0000、 Solaris用としては文書#010703-0001をそれぞれ検索するで入手できる。 ]

Appendix B. - その他の情報

PROTOSプロジェクトはUniversity of Oulu とフィンランド 政府が所有する独立研究組織である VTT Electronicsの共同研究である。 このプロジェクトはプロトコル実装に情報セキュリティの欠陥がないかどうか 検証するための方法について研究している。

この勧告で議論された脆弱性はLDAPプロトコルに関係するものであるが、 PROTOS LDAPv3テストスイーツの研究、開発、利用に当たって用いられた 方法はあらゆる通信プロトコルに応用できる。

PROTOSプロジェクトならびにその開発したテストスイーツ集については次の サイトを訪れられたい。

http://www.ee.oulu.fi/research/ouspg/protos/

ASN.1 (Abstract Syntax Notation One)は柔軟な記法であり、さまざまなデータ タイプを定義できる。BER (Basic Encoding Rules)は各ASN.1タイプの値を 8進文字列として表現ないしエンコードする方法について記述している。これに より、プログラマはデータをエンコード/デコードして、ネットワーク上で プラットフォーム独立にデータ伝達をすることができる。

参照文献

http://www.cert.org/advisories/CA-2001-18.html

http://www.ietf.org/rfc/rfc2116.txt

http://www.ietf.org/rfc/rfc2251.txt

http://www.ietf.org/rfc/rfc2252.txt

http://www.ietf.org/rfc/rfc2253.txt

http://www.ietf.org/rfc/rfc2254.txt

http://www.ietf.org/rfc/rfc2255.txt

http://www.ietf.org/rfc/rfc2256.txt

http://www.ee.oulu.fi/research/ouspg/protos/

http://www.ee.oulu.fi/research/ouspg/protos/testing/c06/ldapv3/

http://www.kb.cert.org/vuls/

http://www.kb.cert.org/vuls/id/276944

http://www.kb.cert.org/vuls/id/505564

http://www.kb.cert.org/vuls/id/583184

http://www.kb.cert.org/vuls/id/688960

http://www.kb.cert.org/vuls/id/717380

http://www.kb.cert.org/vuls/id/763400

http://www.kb.cert.org/vuls/id/765256

http://www.kb.cert.org/vuls/id/869184

http://www.kb.cert.org/vuls/id/935800

CERT Coordination CenterはOululu University Secure Programming Group に対して、今回の脆弱性を我々に報告し、詳細な技術分析を行ない、この勧告を 準備する手助けをしてくれたことに謝意を表する。また、各自に関わる脆弱性 についてフィードバックを提供してくれた多くのベンダにも感謝する。

著者: Jeffrey P. Lanza and Cory F. Cohen. この勧告へのフィードバックをいただければ幸いである。

CERT/CC Contact Information

Email: cert@cert.org
Phone: +1 412-268-7090 (24-hour hotline)
Fax: +1 412-268-6989
Postal address:

CERT Coordination Center
Software Engineering Institute
Carnegie Mellon University
Pittsburgh PA 15213-3890
U.S.A.

Using encryption

We strongly urge you to encrypt sensitive information sent by email. Our public PGP key is available from

http://www.cert.org/CERT_PGP.key

Getting security information

http://www.cert.org/

subscribe cert-advisory

* "CERT" and "CERT Coordination Center" are registered in the U.S. Patent and Trademark Office.

Copyright 2001 Carnegie Mellon University.

更新履歴

Jul 16, 2001: 第1版公開

本和訳の改訂履歴
2001年7月17日午後6時30分 (JST) 初版公開
2001年7月17日午後8時5分 (JST) typoを修正。樋口千尋さんのご指摘に感謝。
2001年7月18日午前0時30分 (JST) perimeterの訳語を「周縁」から「境界」に 訂正。