SSRF攻撃によるCapital Oneの個人情報流出についてまとめてみた - piyolog

2019年7月29日、米金融大手 Capital Oneは不正アクセスにより1億人を超える個人情報が流出したと発表しました。WAFの設定ミスに起因して、Server Side Request Forgery（SSRF）攻撃を許したことにより情報を盗まれたと見られています。ここでは関連する情報をまとめます。 Capital Oneによる公式発表 Information on the Capital One Cyber Incident（米国向け） Information on the Capital One Cyber Incident（カナダ向け） Frequently Asked Questions （１）影響範囲 影響が及んだ人数の内訳は以下の通り。 米国 約1億人 カナダ 約600万人 発表時点でCapital Oneは流出した情報が外部へ出回ることや、詐欺への使用は確認していない。

[ockeghem]

これはわかりやすい。私のブログ記事（SSRF解説）にも言及いただきありがとうございます。SSRF攻撃に至る脆弱性は複数ありますが、SSRF脆弱性(CWE-918)のようですね

[ya--mada]

内部ホスト名かインスタンス名かipが分からないとって意味で内部犯ゆわれてるの？mod securityが踏み台になったんか。

[newnakashima]

IAMロールはIAMユーザーのアクセスキーベタ書きよりも安全と言われているけどこういうケースだとサーバーに入らなくても認証情報とれちゃうんだよね。

[benridane111]

これ内部犯行なんか？

[reiki4040]

インスタンスメタデータへのアクセスで、認証情報盗ったのか。ここへのアクセス防ぐのと、インスタンスについてる権限の最小化なかなか骨折れる

[teppeis]

SSRFでEC2のメタデータから認証情報を取得しS3へアクセス

[tukanana]

結局内部犯系→でなくてもあり得る話と(徳丸氏)

[z1h4784]

EC2のメタデータ取得機能は廃止してほしい。あんなのリスクでしかないでしょうよ

[hdkINO33]

“獣医の手紙とともに自宅の住所を投稿していた。”

[Nyoho]

“Capital Oneが利用していたWAFに設定ミスが存在”

[T-miura]

ちょ。詳しいな。独自のwafって、apache mod securityって書いてあるがな…。iam role取ったとか、相当詳しい・・

[igagurimk2]

自社作成した防御層がむしろ攻撃チャンネルになってしまうというパターン。

[digitalmatic]

詳しい！

[IGA-OS]

クラウドサービスの構築ミスから流出

[toritori0318]

SSRFなるほど

[chestnutking]

EC2にIAM Role割り当てるとローカルhttp通信でクレデンシャル覗けてしまう件、仕組み上仕方ないのかもしれないけど、ものすごく邪悪な感じがする。内部犯に覗かれたら、APIの実行元制限してない限りアウトでしょこれ。

[june29]

女すごい。

[diveintounlimit]

確かに犯人めっちゃ脇甘いな

[koyhoge]

SSRFによってEC2のインスタンスメタデータにアクセス。そこにあった認証情報でS3上のデータを奪取したと。S3側でどういう権限設定をして、どういう認証情報をメタデータに入れていたんだろうか?

[stealthinu]

わかりやすいまとめ。ファイル名みると被害はCapital Oneだけじゃない感じ？あと内部犯行というのとはちょっとニュアンス違う感じな気がしたがどうなんだろ？

[hiby]

バレかた（逮捕までの経緯）が凄いな。

[shoh8]

めっちゃ詳しくて驚く。さすが

[sho]

SSRFを使った犯罪を説明するのに良い事例。そもそもこの犯人、ずいぶん脇が甘いなぁ。OSINTの解説としても良さそう。

[masatomo-m]

SSRFはSSRとかも攻撃の温床になりうるので、フロントエンジニアも他人事じゃないと思ってほしいところではある

[JULY]

メタデータの取得後に、実際に S3 からデータを抜くところがぼんやりだったんだけど、メタデータにロールの一時キー、トークンが取得できるから、インスタンス外からでもそのロールを利用できる、かぁ。

[like_futsal]

Security

[Derabon]

WAFを通してのリクエストからS3(AWS)の認証情報が抜けちゃう脆弱性があったって事？

[mag4n]

よくわかるまとめ

[igrep]

SSRF知らなかった

[Ashburton]

AWSのガイドにはメタデータに認証情報を保存しないでくださいって書いてるのに、無視して保存してたってこと？金融機関がそんな杜撰な管理してるものなの？？？

[egapool]

EC2インスタンスメタデータへのルーティングを制限するか、S3へのアクセスをそもそもプライベートサブネットに制限していれば防げたということかな？制限できない要件があったんでしょうけど。

[Akaza]

WAFの設定ミスで任意のホストにリクエストを中継する状態になっていたケース。

[naglfar]

“女はSNS（Twitter）に頻繁にペットの猫の写真をアップロードしていた。”、この情報はなぜ含まれているんだろう。

[tettekete37564]

“Server Side Request Forgery”