CERT^® Advisory CA-2001-23
"Code Red"ワームの脅威続く

Original release date: July 26, 2001
 
Last revised: August 23, 2001

Source: CERT/CC

本文書の原文は http://www.cert.org/advisories/CA-2001-23.htmlである。

本文書の完全な更新履歴は末尾にある。

影響のあるシステム

CERT/CCが受けた報告を考えると、少なくとも28万台のホストが先ごろの 第一波で攻略された。

この勧告のポーランド語翻訳版はhttp://www.cert.pl/CA/CA-2001-23-PL.htmlで入手可能である。

I. 説明

"Code Red"ワームは自己流布型(self-propagating)の悪意あるコードで、 CA-2001-13 IISインデックスサービスDLLのバッファオーバフロー(原文); その和訳で記述されている脆弱性を 持つMicrosoft Internet Information Server(IIS)を有効にしているシステム に付けこむ。攻略されたマシン上でのこのワームの活動は時刻(日付)によって 違う。システムクロックの日付によっていろいろな活動をするのである。 CERT/CCは少なくともこのワームについて2種類が広く流布していることを 確認しており、おのおの次のような振る舞いを見せる。

• 流布モード(月のうちの1日〜19日): 感染したホストはさらにワームを流布しようとして、任意のIPアドレス にポート80/tcpで接続を試みようとする。このリクエストを受け付ける ホストの設定によってその結果は変わってくる。

  • 修正パッチを適用していないIISサーバ4.0ならびに5.0でインデックス サービスをインストールしている場合、ほぼ確実に"Code Red"ワームに 攻略されることになるであろう。このワームの初期の変異版においては 犠牲となるホストのデフォルトが言語が英語であった場合、ウェブサーバ からリクエストされるすべてのページが改竄された。後の変異版に感染した ホストでは、提供している内容に改竄を加えられたことはない。
  • 修正パッチを適用していないCisco 600シリーズ DSL ルータは このHTTPリクエストを処理し、ルータがパケットをフォワーディングするのを 停止させてしまう今回とは別の脆弱性を引き起こすことになる。 [http://www.cisco.com/warp/public/707/cisco-code-red-worm-pub.shtml]
  • IISは使っていないが、ポート80/tcpを待ち受けてしているHTTPサーバがあるシステム もおそらくこのHTTPリクエストを受け付けることがあり、 "HTTP 440 Bad Request"メッセージを返し、アクセスログにこのリクエストがあったことを 記録するであろう。

• 殺到モード(月のうちの20日〜27日): コードには特定のIPアドレスが埋め込まれており、そこに対して パケットを大量に送りつけることでサービス拒否(Dos)攻撃を開始するであろう。

• 終結 (28日以降): ワームはメモリ上に残ってはいるが、それを除けば 停止状態(inactive)となる。

II. 影響

CERT/CCに報告されたデータによれば、"Code Red"ワームはわずか9時間 のうちに25万台以上のシステムに感染した。図1が示しているのは 2001年7月19日の午前6時EDTから午後8時EDTまでの状況である。

注: 7月19日の午後8時EDT (グリニッジ標準時では7月20日の 午前0時0分)以降、このワームは感染したたいていのシステムで 殺到モードに切り替わったため、それ以降は感染したシステム数は ほぼ横ばい状態であった。

我々の分析から見積もると、1台のホストに感染したのを開始時点 として、世界中の脆弱なIISサーバすべてにこのワームが感染するのに 要する時間はわずか18時間以下であろう。このワームは月のうち最初の 19日間は自己の流布を続けるようプログラムされているので、スキャン を行なうトラフィックが大量発生するために幅広い 範囲でサービス拒否(DoS)が発生することになるかもしれない。

既にCA-2001-19(原文) ; その和訳で報告されているように、 感染したシステムはウェブサイトの改竄を受けるだけでなく、このワーム の流布活動の結果、パフォーマンスが低下することになるであろう。この パフォーマンス低下はきわめて深刻なものになることもあり、実際、サービスが いくつか完全に停止してしまうこともあり得る。というのは、1台のマシンが このワームに同時に複数感染してしまうことがあり得るためである。

さらに、重要な事実として、"Code Red"ワームが付け入るIISのインデックス サービスの脆弱性 はローカルシステムのセキュリティコンテキストで任意のコードを実行する のにも利用することができる。このレベルの権限を得ることで、攻撃者は 感染したシステムを完全に制御下に置けることになる。

III. 解決策

CERT/CCが推奨するのは、すべてのインターネットサイトが CA-2001-13(原文); その和訳 を再読し、自ネットワークで影響のあるホストすべてに対して回避策 ないしは修正パッチが適用されているか確認することである。

自分の制御下にあるホストが攻略されたと考えられる場合、以下の 文書を見るとよいかもしれない。

UNIXまたはNTシステムが攻略された場合の復旧手順(原文); その和訳(7/27現在、準備中)

このワームで現在分かっているバージョンはメモリ内に置かれるだけの ものである。このため、マシンを再起動すればシステムからワームを除去 できる。しかし、このワームは急速に広まってきているため、再感染する確率は きわめて高い。"Code Red"ワームが付け入ろうとする脆弱性をなくすには、 システムをネットワークから切り離し、ベンダが提供する修正 パッチを当てるべきである。

IV. しておくとよいこと

入口でのフィルタリング(Ingress filtering)

入口フィルタリングとは、自分の管理下のネットワークに 流入してくるトラフィックを管理することである。 典型的にはサーバと呼ばれるマシン以外はパブリックなインターネット の外部で開始側となる接続(inbound connections)を受け付ける必要はない。

多くのサイトのネットワーク利用ポリシーにおいては、何もパブリック サービスを提供しないマシンに対して外部ホストが(訳注:内部のマシン 側から要求したものを除き)接続してくる理由は ほとんどない。

だから、入口フィルタリングをネットワークの境界に置き、利用を認めて いない(non-authorized)サービスに外部から開始される接続を許可しない ようにすべきである。

このようにすることで、侵入者がネットワークを調べる(scanning)のに 使うテクニックの多くはその効果が劇的に小さくなる。

"Code Red"の場合、入口フィルタリングを使うことで、自ネットワーク 外部から来たこのワームが、ローカルネットワーク にあってパブリックな ウェブサービスを提供することを明示的には認めていないはずのマシンに 感染することを防ぐことができるであろう。

Ciscoは"Code Red"ワームの入口フィルタリングに対処するためのtech tipを 公開した。

http://www.cisco.com/warp/public/63/nbar_acl_codered.shtml.

出口でのフィルタリング(Egress filtering)

出口フィルタリングとは、自分の管理下のネットワークから 送出されるトラフィックを管理することである。 典型的には、インターネットへの外部接続の開始点の働きをするパブリックサービス を提供するマシンが必要となることがある(limited need)。 [訳注:この部分の訳は特に生硬だが、原文は、 There is typically limited need for machines providing public services to initiate outbound connections to the Internetである。訳者は「ネットワーク内のマシンがインターネット に接続しようとする場合に必ず経由するような、そして、IPレベルではその経由となる マシンのIPアドレスだけが外部に見えるようになっているようなサーバ」と 解釈している。つまり、ウェブにおけるプロクシサーバのようなものである。この 解釈が正しくないと考えられる場合、ぜひ訳者にご教示願いたい。] "Code Red"の場合、出口フィルタリングを使うことで、自ネットワーク内において 攻略されたIISサーバがさらにこのワームを広げるのを防ぐことができるであろう。

新たなソフトウェアをインストールする際は最新のパッチを適用せよ

http://www.cisco.com/warp/public/707/cisco-code-red-worm-pub.shtml

http://www.microsoft.com/technet/security/bulletin/MS01-044.asp

CERT/CC Contact Information

Email: cert@cert.org
Phone: +1 412-268-7090 (24-hour hotline)
Fax: +1 412-268-6989
Postal address:

CERT Coordination Center
Software Engineering Institute
Carnegie Mellon University
Pittsburgh PA 15213-3890
U.S.A.

Using encryption

We strongly urge you to encrypt sensitive information sent by email. Our public PGP key is available from

http://www.cert.org/CERT_PGP.key

Getting security information

http://www.cert.org/

subscribe cert-advisory

* "CERT" and "CERT Coordination Center" are registered in the U.S. Patent and Trademark Office.

Copyright 2001 Carnegie Mellon University.

更新履歴

Jul 26, 2001: 第1版公開
Jul 30, 2001: Added link to Polish translation
Aug 16, 2001: Added link to Cisco ingress filtering tech tip, updated link to Microsoft cumulative patch
Aug 23, 2001: Updated contact information

本和訳の改訂履歴
2001年7月27日午後2時45分 (JST) 初版公開
2001年7月27日午後3時5分(JST) 「記述」のところで、after 27thとあった ところを「27日以降」から「28日以降」に訂正。
2001年12月14日午後10時20分 (JST) 8/23までの改訂に追従。