ディレクトリトラバーサル攻撃とは、Webサーバ上にある非公開ファイルに不正にアクセスし、利用する行為のことです。2023年12月4日のセキュリティメーカーの調べでは、サイバー攻撃のなかでもディレクトリトラバーサル攻撃の割合は3%以下と多くはありませんが、その中でも増加傾向にあることも事実です。

本項目でディレクトリトラバーサルの仕組みを知り、対策を講じることで攻撃を回避しましょう。

本項目では、ディレクトリトラバーサル攻撃の仕組みを解説します。まず、絶対パスと相対パスの違いを把握したうえで、ディレクトリトラバーサル攻撃の仕組みを理解しましょう。

絶対パスは、ファイルの場所を最初から最後まで完全に指定する形式のことです。たとえば、弊社のサイトの事業内容を確認したい場合は、「https://www.quanz.co.jp/service/」をすべて入力しなければなりません。頂点の階層（https://www）から、閲覧したい階層（service）までを指定する形式を絶対パスと呼びます。

相対パスは、現在作業しているディレクトリから、目的のディレクトリまでの経路を指定する形式のこと。たとえば、弊社サイトの事業内容（https://www.quanz.co.jp/service/）を見ていて、会社概要にアクセスする場合は「../company/」と表示します※。（※例として記載。本サイトではこのようなアクセスはできません。）

相対パスは、「/（一番上の階層を指定する）」「./（現時点と同じ階層を指定する）」「../（一つ上の階層を指定する）」などの決められた記号で経路を指定します。

ディレクトリトラバーサル攻撃は、相対パスを利用した攻撃です。相対パスを利用すると、現在地を起点としてOSで決められた意味を持つ記号を利用して、ファイルを指定できます。そのため、規則性のあるディレクトリの配置やファイル名が推測できる場合、記号を利用して任意のファイルへの不正アクセスが可能です。 この仕組みを利用して攻撃する方法が、ディレクトリトラバーサル攻撃です。

ディレクトリトラバーサル攻撃による被害は、以下の4つが考えられます。

ディレクトリトラバーサル攻撃によって非公開ファイルやディレクトリへ不正アクセスされた場合、ファイルに記述された個人情報や機密情報が流出する可能性があります。個人情報・機密情報が流出すれば、顧客や取引先まで被害が拡大する可能性も考えなければなりません。企業の信頼を失墜させてしまうため、十分に対策することが重要です。

本来、外部から操作することが想定されてないデータが、ディレクトリトラバーサル攻撃を受けることによって改ざんや削除されてしまう可能性があります。たとえば、企業が意図しない情報が掲載されることや悪意のあるプログラムを開くように内容を変更されることがあるため、注意が必要です。

非公開ファイルが情報漏洩することによって、ログイン情報などのなりすましに利用できる情報がある場合は注意が必要です。サーバを管理できるアカウントでログインした場合は、サーバ内にマルウェアを仕掛けたり、踏み台攻撃に利用されたりする可能性があります。

ディレクトリトラバーサルで知り得た情報によって、Webサイトへ不正にログインされることが懸念されます。不正ログインされてしまえば、ファイルやディレクトリに権限を指定していても、効果がありません。不正ログインされれば、情報漏洩やなりすましの被害に繋がります。

本項目では、ディレクトリトラバーサル攻撃の事例を見ていきましょう。

2022年9月14日、株式会社イーシーキューブのシステム「EC-CUBE」でディレクトリトラバーサルについての脆弱性が情報公開されました。実害はなかったものの、攻撃によってサーバ内の任意のファイルやディレクトリを削除される可能性があったとのこと。

2022年8月5日、ホームルータで採用されているWebサーバ「muhttpd」でディレクトリトラバーサルの脆弱性について公表されました。バージョン1.1.5以前のバージョンで、機器に保存されている情報が漏洩するリスクを確認。最新のバージョンにアップデートを呼びかけ、対応しました。

2020年1月10日、三菱電機ではディレクトリトラバーサル攻撃を受け、約8,000人分の個人情報流出の可能性を公表しました。セキュリティパッチ公開前のウイルス対策システムに脆弱性があり、第三者がその脆弱性を利用して攻撃したとのこと。

こういった情報の公開前に仕掛けられる攻撃をゼロデイ攻撃ともいいます。

2019年10月28日、トレンドマイクロのウイルスバスターコーポレートエディションでディレクトリトラバーサル攻撃を回避する修正プログラム適用が呼びかけられました。管理画面で不正に認証されたユーザによって、特定のフォルダにzipファイルをアップロードし、不正なプログラムを実行される可能性があることを公開しています。本事例は修正プログラムをリリースし、適用することで対応しました。

2018年9月10日、サイボウズ社の「Garoon」にてディレクトリトラバーサルの脆弱性があると発表されました。被害報告はなかったものの、ディレクトリトラバーサル攻撃でサーバ上にある任意のファイルを取得・改ざんされるリスクが懸念された事例です。修正プログラムを配布し、脆弱性の修正に至ります。

2017年3月29日、ドイツの食洗器メーカー「ミーレ」が提供する食洗器のWebサーバ機能に、ディレクトリトラバーサルの脆弱性があると発表されました。該当の食洗器はIoTが備わっており、病院や医療機関での利用があるもので、インターネットへの接続があれば、カルテなどの個人情報が漏洩していた可能性が指摘されています。

本事例では食洗器をインターネットへ接続していなかったため、ネットワークへ侵入されなかったとされています。

2008年8月、Apache Tomcatでディレクトリトラバーサルの脆弱性が存在すると公表されました。本事例は、allowLinkingおよびUTF-8を有効にしている場合のみ、ディレクトリトラバーサルの文字列によって、ファイルが閲覧されるというもの。修正プログラムの配布によって、脆弱性を修正。

2003年11月、コンピュータソフトウェア著作権協会のサイトでディレクトリトラバーサルの脆弱性があったことが公表されました。サイト内で使用していたプログラムの機能を悪用し、1,000人以上の個人情報が漏洩。個人からの指摘があり発覚し、問題のプログラムを停止することで対応しました。

ディレクトリトラバーサル攻撃からの被害を回避するために、対策を解説します。

ディレクトリトラバーサルを防止するには、外部からの処理でファイル名を指定して、プログラムを呼び出す実装を避けることが効果的です。指定したファイル名の値を改変して入力された場合、本来公開しない想定のファイルが閲覧される恐れがあります。

システムを構築する場合は、Webサーバ内のファイル名を内部だけの処理で完結できるよう、レビューなどで確認しましょう。

ディレクトリトラバーサル攻撃を検知するシステムを導入するのも、対策の一つです。攻撃検知システムは、不正侵入検知システム（IDS）と不正侵入防止システム（IPS）の2種類があります。IDSは、ファイアウォールが許可した通信を監視し、ファイアウォールを通過した攻撃を検知して管理者へ通知するシステムです。

一方、IPSは検知後に検知した通信を遮断する機能が搭載されています。本対策は、ディレクトリトラバーサル攻撃だけではなく、その他の不正アクセスで実施される攻撃にも有効です。

脆弱性が発見された時は、できるだけ早く最新版へバージョンアップしましょう。ディレクトリトラバーサル攻撃を回避するには、脆弱性を放置せず、修正プログラムを当てたり、バージョンアップしたりすることが重要です。

搭載しているWebアプリケーションが多い場合、脆弱性が見つかったときに攻撃されるリスクが上がるため、不要なWebアプリケーションの削除も実施しましょう。

外部からアクセスできるサーバなどに、機密情報を保管しないようにしましょう。脆弱性が発覚した場合に悪意のあるプログラムや、不正アクセスによって機密情報が載っているファイルを閲覧される可能性があります。機密情報は比較的堅牢なサーバに配置するような運用が必要です。

システムの設定で、ファイルやディレクトリのアクセス権限を正しく設定することも重要です。アカウントごとに参照できるファイルやディレクトリを設定することで、不正ログインされた時に閲覧できる範囲を限定できます。 アクセス権限を見直すことで、不正なプログラムがファイルを開く処理を拒否できるようにしましょう。

システムの定期健診として、専門家に自分の企業が運営しているWebサイトやWebアプリケーションの脆弱性を診断してもらうことも重要です。脆弱性診断ではWebアプリケーションやネットワーク、ハードウェアなどの欠陥を発見します。

依頼する専門家によって対策の提示まで実施してくれるので、費用はかかるものの企業の信頼を失墜させないためにも検討してみましょう。

ディレクトリトラバーサル攻撃を避けるには、相対パスを指定する記号（/、./、../など）を検出した場合に、処理を中断させる仕組みを取り入れることが効果的です。レビューの際は、入力内容のチェックを入れているかを、URLのコードを変換している処理を含めてチェックしましょう。

ディレクトリトラバーサル攻撃を回避するためには、WAFの導入も効果的です。WAFとは、一般的にHTTP・HTTPSを監視し、Webアプリケーションの脆弱性を狙った攻撃から保護するためのセキュリティシステムのこと。

脆弱性が発覚した場合、短期間で修正を実施できることは稀ですが、WAFを導入することによって早急に攻撃を食い止められる可能性が高くなります。

本記事では、ディレクトリトラバーサルの仕組みや被害の事例、対策について説明しました。ディレクトリトラバーサル攻撃を受けた場合、不正ログインや情報漏洩の被害につながり、企業の信頼を失う可能性があります。企業はWebサーバに対してセキュリティ対策をし、より堅牢なシステムを構築していくことが重要です。

コンサルティングに関しては、専門性を持ったコンサルタントが、徹底して伴走支援するクオンツ・コンサルティングにご相談ください。

①大手コンサルティングファーム出身のトップコンサルタントが多数在籍
②独立系ファームならではのリーズナブルなサービス提供
③『事業会社』発だからできる当事者意識を土台にした、実益主義のコンサルティングサービス

クオンツ・コンサルティングは『設立から3年9ヶ月で上場を成し遂げた事業会社』発の総合コンサルティングファームです。
無料で相談可能ですので、まずはお気軽にご相談ください。