CDNサービスのpullモードにDoS攻撃を受ける問題（JVN）

IPAおよびJPCERT/CCは、CDNに対する攻撃手法として、Forwarding Loopを発生させDoS状態にする攻撃が指摘されていると「JVN」で発表した。

脆弱性と脅威セキュリティホール・脆弱性

2016.3.2 Wed 14:18

独立行政法人情報処理推進機構（IPA）および一般社団法人 JPCERT コーディネーションセンター（JPCERT/CC）は3月1日、コンテンツデリバリネットワーク（CDN）に対する攻撃手法として、Forwarding Loopを発生させDoS状態にする攻撃（Forwarding Loop 攻撃）が指摘されていると「Japan Vulnerability Notes（JVN）」で発表した。CVSS v3によるBase Scoreは5.3。

CDNサービスでは、Webサイトの処理効率とスケーラビリティの向上のため、コンテンツへのアクセスリクエストを地理的に近いサーバに転送して処理する。CDNではコンテンツのアップロードにpushモードとpullモードの2種類の方法があるが、pullモード動作の設定によってはリクエストの転送を内部的にループさせることが可能であると指摘されている。

これにより攻撃者はリモートからCDNをDoS状態にできる可能性があり、結果としてCDN上のコンテンツにアクセスできなくなる可能性がある。JVNでは、CDN サービスを提供している事業者は、自身の提供する CDN が本脆弱性の影響を受けるかどうか、研究者の発表資料を確認するよう呼びかけている。

《吉澤亨史（ Kouji Yoshizawa ）》