PHPのJSON HashDosに関する注意喚起

4年前にHashDos（Hash Collision Attack）に関する効率的な攻撃方法が28C3にて公開され、PHPを含む主要言語がこの攻撃の影響を受けるため対策を実施しました。しかし、PHP以外の言語が、ハッシュが衝突するデータを予測困難にする対策をとったのに対して、PHPは、GET/POST/COOKIE等の入力データの個数を制限するという対症療法を実施したため、PHPにはHashDosに対する攻撃経路がまだ残っているということは、一部の技術者には知られていました。例えば、以下の様なつぶやきにも見ることができます。 だって、 hashdos 脆弱性の時、 Python とかの言語が、外部入力をハッシュに入れるときに衝突を狙えないように対策したのに、phpだけPOST処理で対策したからね？ json を受け取るような口もってるphpアプリのほとんどがhashdos残ってるんじゃない

[ockeghem]

会社の公式ブログに記事を書きました

[rgfx]

わかりやすいブログエントリにはしていない辺りから伺えるヤバさ

[raimon49]

ハッシュデータとして見た$_POSTは対策済みだけど、その中身を取り出して未検証のままjson_decode()に渡す（いわゆるJSONデータをPOSTで受け付けるようなWeb API）はダメという話らしい　SimpleXMLの内部実装を読んでるのすごい

[hibiki_koyo]

json_decodeする前にサイズチェックバリデーションを入れるのが暫定的な対策方法

[mumincacao]

JSON 入出力が増えてきたから表面化するかもだけど確かに DoS ならこまけぇことはいいんだよな物量作戦のが有効範囲も広いしそれでいいやって感じはしちゃうなぁ・・・ （ーω【みかん

[kkeisuke]

データイサイズと処理時間制限で緩和は出来る。。。

[k-holy]

unserialize()の脆弱性と同じく、json_decode()呼ぶような処理の前に認証と権限制御ちゃんとしていれば問題ないかな

[houyhnhm]

ぬ。

[xrekkusu]

へー - PHPのJSON HashDosに関する注意喚起 | HASHコンサルティングオフィシャルブログ :

[escape_artist]

nikicさんに期待するしか