Spring4Shell (CVE-2022-22965) 緩和策のための Python ファイアウォール

1. 概要

このプロジェクトは、Python で実装された Proof-of-Concept (POC) としての、シンプルかつ効果的なファイアウォールです。これは、HTTP サーバーとして動作し、受信した POST リクエストを検査して、Spring4Shell (CVE-2022-22965) リモートコード実行 (RCE) 脆弱性に関連する特定のペイロードパターンを検出・ブロックするように設計されています。

2. 動作原理

このファイアウォールは、Python 組み込みの http.server モジュールを利用しています。中核となるロジックは、ServerHandler クラスの do_POST メソッドにあります。

1. サーバーは、受信したすべての POST リクエストを傍受します。
2. リクエストボディ全体を読み取ります。
3. 悪意のあるシグネチャ文字列 class.module.classLoader を検索します。この文字列は Spring4Shell エクスプロイトの基本コンポーネントであり、攻撃者が難読化するのは困難です。
4. パターンが見つかった場合、サーバーは直ちに 403 Forbidden HTTP レスポンスを送信してリクエストをブロックします。
5. パターンが見つからない場合、リクエストは正当なものとみなされ、200 OK レスポンスで通常どおり処理されます。

3. このアプローチの理由

他の緩和戦略ではヘッダーや特定の URL パスに焦点を当てることもできますが、この方法はその堅牢性から選ばれました。

• 堅牢性: 攻撃者が簡単に変更できるファイル名 (例: tomcatwar.jsp ) やカスタムヘッダー名などの脆弱な指標に依存しません。
• 有効性: エクスプロイト自体の中核メカニズムを対象としているため、この特定の脆弱性に対する非常に信頼性の高い検出方法となります。

4. 使用方法

ファイアウォールを実行するには、メインスクリプト firewall_server.py を使用します。

python firewall_server.py

サーバーは localhost:8000 で起動します。

次に、提供されている Test_Requester.py スクリプトを使用して、悪意のあるリクエストをシミュレートし、それらがブロックされていることを確認できます。

5. 免責事項

これは Proof-of-Concept であり、教育およびデモンストレーション目的のみを意図しています。本番環境対応のファイアウォールソリューションではありません。