Reflected File Download

このアプリケーションは、信頼できるドメインを元にしているように見える任意のコンテンツを強制的にダウンロードさせる URL の作成を攻撃者に許可します。

Reflected File Download (RFD) は、攻撃者が作成したフィッシング URL またはフィッシング ページにアクセスさせて、信頼できるドメインを元にしているように見える任意のコンテンツを含むファイルのダウンロードを開始するという脆弱性の 1 つです。ユーザーは対象のドメインを信頼しているため、ダウンロードしたファイルを開く可能性が高く、結果的に悪意のあるコードが実行されてしまいます。

攻撃者が RFD 攻撃を成功させるには、次の要件を満たす必要があります。
- ターゲット アプリケーションが、適切な検証またはエンコードなしでユーザー入力を反映している。これは、ペイロードを挿入するために使用されます。
- ターゲット アプリケーションが、許容的な URL を許可している。この結果、攻撃者が、ダウンロードされたファイルの名前と拡張子を操作する可能性があります。
- ターゲット アプリケーションの Content-Disposition ヘッダーの設定が間違っている。これにより、HTTP レスポンスの Content-Type ヘッダーと Content-Disposition ヘッダーまたはそのいずれかが攻撃者によって操作される可能性があるほか、ターゲット アプリケーションに、デフォルトではブラウザーにレンダリングされない Content-Type が含まれる場合があります。

たとえば、アプリケーションが Spring Web MVC ContentNegotiationManager を使用して、さまざまなレスポンス形式を動的に生成している場合、RFD 攻撃に必要な条件が整います。

ContentNegotiationManager は、リクエスト パス拡張に基づいてレスポンス形式を決定し、Java Activation Framework (JAF) を使用してクライアントが要求した形式により一致する Content-Type を探すように設定されます。また、リクエストの Accept ヘッダーで送信されるメディア タイプを介してレスポンス コンテンツ タイプを指定することをクライアントに許可します。

例 1: 次の例のアプリケーションは、パス拡張戦略と Java Activation Framework によってレスポンス コンテンツ タイプを決定するように設定されています。

<bean id="contentNegotiationManager" class="org.springframework.web.accept.ContentNegotiationManagerFactoryBean">
  <property name="favorPathExtension" value="true" />
  <property name="useJaf" value="true" />
</bean>

例 2: 次の例のアプリケーションは、リクエストの Accept ヘッダーによってレスポンス コンテンツ タイプを決定するように設定されています。

<bean id="contentNegotiationManager" class="org.springframework.web.accept.ContentNegotiationManagerFactoryBean">
  <property name="ignoreAcceptHeader" value="false" />
</bean>

Spring 4.2.1 での ContentNegotiationManagerFactoryBean プロパティのデフォルト値は次のとおりです。

- useJaf: true
- favorPathExtension: true
- ignoreAcceptHeader: falseExample 1 の構成では、攻撃者が次のような悪意のある URL を作成することが可能です。

http://server/some/resource/endpoint/foo.bat?input=payload

ContentNegotiationManager は、Java Activation Framework (activity.jar がクラスパスにある場合) を使用して、指定したファイル拡張子についてメディア タイプを解決しようとし、それに合わせてレスポンスの ContentType ヘッダーを設定します。この例では、ファイル拡張子は "bat" で、Content-Type ヘッダーは application/x-msdownload です (正確な Content-Type は、サーバーの OS と JAF の設定によって異なります)。その結果、この悪意のある URL にアクセスした被害者のマシンは、攻撃者が操作したコンテンツを含む ".bat" ファイルのダウンロードを自動的に開始します。その後、このファイルが実行されると、被害者のマシンは攻撃者のペイロードで指定されたコマンドを実行します。