SOAP メッセージの DTD 解釈時に DoS 攻撃を許す脆弱性

この記事のURLhttp://japan.internet.com/webtech/20031216/11.html

ハイテク大手 IBM (NYSE:IBM) と Microsoft (NASDAQ:MSFT) は、サービス不能化 (DoS) 攻撃に利用でき、さまざまな Web サービスに影響を与える、深刻な脆弱性に対応するため修正ファイルを公開した。

両社は共に、脆弱性が存在するのは Web サービス製品の XML パーサーで、XML 文書の DTD (文書型定義) 解釈時に問題が発生すると発表した。セキュリティ調査会社の Secunia は同脆弱性の危険度を「中程度」と評価している。

影響がおよぶ製品は、『IBM WebSphere 5.0.0』や『Microsoft .NET Framework 1.1』および同フレームワークを含む製品となっている。

IBM によると、修正ファイルを適用すれば、意図的に細工した SOAP の要求メッセージで発生する問題を解消できるという。不正な要求により WebSphere の XML パーサーが CPU リソースを大量に消費してしまう、と IBM は警告している。

Microsoft も同様に、.NET Framework 1.1 など同社の Web サービス製品で発生する DTD エラーの脆弱性について、注意を呼びかけている。

DTD は XML 文書の構造を表すマークアップルールを記述でき、文書構造の妥当性の検証に利用できる。『XML 1.0』の仕様が最初に決まった際、DTD は XML ベースではなく、SGML や HTML など、初期のマークアップ言語から継承したものだったと、Microsoft は説明している。

Microsoft は、場合により DTD を含む XML メッセージの排除を勧めている。Microsoftによれば、『SOAP 1.1』の仕様では、SOAP メッセージに DTD を含めるべきではないと定義しているという。