OpenSSL の脆弱性を使って伝播する Apache/mod sslワーム(更新)
最終更新: 2002-09-20
======================================================================
JPCERT-AT-2002-0006
JPCERT/CC
緊急報告 - OpenSSL の脆弱性を使って伝播する Apache/mod_ssl ワーム
初 版: 2002-09-17 (Ver.01)
発 行 日: 2002-09-20 (Ver.02)
最新情報: http://www.jpcert.or.jp/at/2002/at020006.txt
======================================================================
JPCERT/CC では、Apache/mod_ssl ワームに関するインシデント報告をいた
だいています。このワームに感染したホストは、他のシステムに対する分散型
サービス運用妨害 (DDoS) 攻撃の踏み台として使用される可能性があります。
本文書ではこのワームに感染したかどうか、もしくは攻撃されたかどうかの
確認方法とワームに対する対処方法を説明します。このワームには亜種が存在
する可能性があるので、確認方法や対処方法としては、この文書に記述された
内容だけでは充分ではない可能性もあることをあらかじめご了承ください。
I. Apache/mod_ssl ワームとは?
Apache/mod_ssl ワームは、2002年7月末に報告された OpenSSL の脆弱性を
使い、Apache Web サーバと mod_ssl を介して伝播するワームです。また、
linux.slapper.worm や bugtraq.c worm と呼ばれることもあります。
対象となるのは、Intel x86 アーキテクチャの Linux システムで稼働して
いる Apache Web サーバのうち、OpenSSL 0.9.6d またはそれ以前を使ってい
る mod_ssl が有効になっているものです。また、OpenSSL 0.9.7-beta2 およ
びそれ以前のβバージョンを使用している場合も同様の危険性があります。
このワームが使用する OpenSSL の脆弱性の詳細については下記の URL を参
照してください。
CERT Advisory CA-2002-23
Multiple Vulnerabilities In OpenSSL
http://www.cert.org/advisories/CA-2002-23.html
OpenSSL Security Advisory [30 July 2002]
http://www.openssl.org/news/secadv_20020730.txt
JPCERT/CC REPORT 2002-08-07号
http://www.jpcert.or.jp/wr/2002/wr023001.txt
JPCERT/CC REPORT 2002-08-14号
http://www.jpcert.or.jp/wr/2002/wr023101.txt
このワームは、まず増殖先を探すために他のホストの 80/tcp にアクセスし
ます。そして Apache Web サーバを検知すると、OpenSSL の脆弱性を使って侵
入するためのコードを攻撃対象の 443/tcp へ送信します。
ワームに感染したホストは、2002/udp を用いて攻撃元と通信を行なうこと
で、他のシステムに対する分散型サービス運用妨害 (DDoS) 攻撃の踏み台とし
て使用される可能性があります。また、2002/udp を用いた通信自体がネット
ワークの輻輳や計算機資源の浪費につながる場合があります。
このワームに関しては以下の URL で示されるページもご覧ください。
CERT Advisory CA-2002-27
Apache/mod_ssl Worm
http://www.cert.org/advisories/CA-2002-27.html
CIAC Bulletin M-125
Apache/mod_ssl Worm
http://www.ciac.org/ciac/bulletins/m-125.shtml
AUSCERT ALERT AL-2002.11
Apache/mod_ssl Worm
http://www.auscert.org.au/Information/Advisories/advisory/AL-2002.11.txt
Internet Security Systems セキュリティ アラート
OpenSSL/Apache ワーム「Slapper」の蔓延
http://www.isskk.co.jp/support/techinfo/general/SlapperApacheWorm_xforce.html
II. 確認方法
Apache/mod_ssl ワームに感染しているかどうかについては、次のような方
法で確認することができます。
(1) 痕跡
以下のファイルの存在を確認します。ファイル名の先頭に . (ピリオド) が
付いていることに注意してください。
/tmp/.uubugtraq
/tmp/.bugtraq.c
/tmp/.bugtraq
これらのファイルが存在している場合は、ほぼ確実にワームに感染していると
考えてよいでしょう。
※ Apache/mod_ssl ワームは感染すると、/tmp/.uubugtraq というファイル
を作成します。次にこれを uudecode して /tmp/.bugtraq.c という C
言語のプログラムファイルを抽出します。そしてそのプログラムファイ
ルを gcc でコンパイルすることで、自己増殖などに用いるプログラム
/tmp/.bugtraq を作成し、そのプログラムを実行します。
(2) 通信状態
netstat -an コマンドを実行して通信状態を確認します。またルータのログ
などから対象となるホストと外部との通信履歴を確認します。2002/udp を使っ
た通信が行なわれている場合はワームに感染した可能性が極めて高いと判断で
きます。
※ Apache/mod_ssl ワームについては、上記 (1) と (2) で紹介した感染の
形跡を隠蔽する亜種が存在する可能性が指摘されています。したがって
感染の対象となる可能性のあるホストにおいては、上記の方法だけでな
く、以下の文書などを参考にして、何らかの改竄が行なわれていないか
どうかを確認することを強くお勧めします。
@IT 連載: 管理者のためのセキュリティ推進室
第3回 インシデントを発見する方法 (2)
http://www.atmarkit.co.jp/fsecurity/rensai/inci03/inci01.html
III. 対処方法
Apache/mod_ssl ワームに感染したことが確認された場合は、まずそのホス
トをネットワークから切り離すことをご検討ください。これによりワームの増
殖を防ぐことができます。
Apache/mod_ssl ワームに感染したホストでは、攻撃者が Web サーバの実行
権限 (一般的には nobody もしくは www、apache など) を取得している可能
性があります。また、その上で更に別の脆弱性を使って root 権限を取得して
いる可能性もあります。そのため、ワームによるプロセス .bugtraq を停止し
て、侵入の痕跡である /tmp/.bugtraq などのファイルを削除するだけでは、
完全には復旧しない場合があります。したがって、システムを復旧するには、
まず必要なファイルのバックアップを取り、ハードディスクをフォーマットし
た上で、OS を再インストールすることをお勧めします。その上で、OpenSSL
をバージョン 0.9.6g もしくはそれ以降に更新する、または各ベンダや配布元
が提供するパッチを適用するなどの再発防止策を講じてください。
なお、システムの改竄が行われたと考えられるホストからのデータの移行や、
そのホストの OS の再インストールの際にバックアップテープ等を使用される
場合は、バックアップされた情報自体に、ワームなどによって置き換えられた
ファイルやインストールされたプログラム等が記録されていないか、充分にご
注意ください。
各ベンダや配布元の対応状況、また OpenSSL の更新方法の詳細については
下記の URL を参照してください。
Vine Linux errata
openssl にセキュリティホール
http://vinelinux.org/errata/25x/20020731.html
http://vinelinux.org/errata/2x/20020731.html
Turbolinux Japan Security Center
OpenSSL/Apache ワーム「Slapper」について
http://www.turbolinux.co.jp/security/openssl-slapper.html
Turbolinux Japan Security Center
OpenSSL 0.9.6e バグフィックス
http://www.turbolinux.co.jp/security/openssl-0.9.6g-2.html
Debian Security Advisory DSA-136-1
openssl -- リモートからの複数種類の攻撃
http://www.debian.org/security/2002/dsa-136
※文書番号は更新されていませんが情報が追加されています。
Red Hat Linux セキュリティアドバイス RHSA-2002:155-11
opensslパッケージのアップデート
http://www.jp.redhat.com/support/errata/RHSA/RHSA-2002-155J.html
Red Hat Linux セキュリティアドバイス RHSA-2002:160-21
opensslパッケージのアップデート
http://www.jp.redhat.com/support/errata/RHSA/RHSA-2002-160J.html
HP社セキュリティ報告: #055
opensslにおけるセキュリティ脆弱性
http://www.jpn.hp.com/upassist/assist2/secbltn/HPSBTL0207-055.html
HP社セキュリティ報告: #056
OpenSSLおよびlibmmにおける複数の脆弱性
http://www.jpn.hp.com/upassist/assist2/secbltn/HPSBTL0208-056.html
今後も更に OpenSSL の同じ脆弱性を使った、Linux 以外のホストにも感染
するワームが作られる可能性は高いと考えられます。OpenSSL を使用している
場合は、Linux に限らず、至急抜本的な対策を施すことを強くお勧めします。
IV. 参考
現在、実用的に使われているソフトウェアは、どれも複雑で大規模なものに
なっているため、未知のセキュリティホールが含まれる可能性はどのシステム
であっても否定できません。また、対策が明らかになっている既知のセキュリ
ティホールであっても、対策が広く実施されていない間はやはり脅威となりま
す。このような状況では、
・常にセキュリティ関連の情報収集を行なう。
・セキュリティホールが利用されるまえに、パッチの適用やバージョンアップ
を行なう。
・本当に必要なネットワークサービスだけを運用し、必要がないネットワーク
サービスは停止する。
などの対応を推奨いたします。
各サイトにおかれましては、緊急時の連絡体制につき再確認いただくと共に、
いま一度、セキュリティ対策の実施状況の確認をお勧めします。また、不審な
アクセスの監視を継続することをお勧めします。
対応一般につきましては以下の資料もご覧ください。
コンピュータセキュリティインシデントへの対応
http://www.jpcert.or.jp/ed/2002/ed020002.txt
関係サイトとの情報交換
http://www.jpcert.or.jp/ed/2002/ed020001.txt
以上。
________
更新履歴
2002-09-20 「I. Apache/mod_ssl ワームとは?」の情報の追加
「II. 確認方法」の修正と情報の追加
表現の修正
2002-09-17 初版
Topへ