影響を高める脆弱性チェーン

脆弱性の連鎖とは、重大度の低い複数の脆弱性を1つのエクスプロイトチェーンに組み合わせ、全体としてより大きな影響を生み出すことです。SSRF + IMDSアクセス + IAM認証情報の窃取という連鎖は、各要素を単独で評価した場合よりもはるかに大きな影響を及ぼします。

プログラムが評価するのは、個々のバグの件数ではなく影響です。影響の小さいXSSを、self-XSSのバイパスや、それを誘発するCSRFと組み合わせると、影響の小さい3件の個別報告ではなく、高額またはcriticalの報酬に値するアカウント乗っ取りの連鎖になる場合があります。

Self-XSSは通常、報告が認められません（自分自身を攻撃するためです）。しかし、被害者のセッションでXSSペイロードを実行させるCSRFと組み合わせると、攻撃者は被害者のコンテキストで任意のJSを実行できます。これによりアカウント乗っ取りが可能になります。重大度の低い2つの発見が、criticalの連鎖になるのです。

内部インフラストラクチャにしか到達できないServer-Side Request Forgery（通常はmedium）は、AWS EC2メタデータサービス（169.254.169.254）へのアクセスと組み合わせるとcriticalになります。そこからIAM認証情報を窃取し、その認証情報を使ってAWSアカウント全体にアクセスできます。

example.comのオープンリダイレクトを利用すると、OAuth認可レスポンスを攻撃者が管理するURLへリダイレクトできます。これをフィッシングの仕組みと組み合わせてOAuth認可コードを窃取し、サーバー側で交換することで、アカウント全体へのアクセスを取得できます。mediumの2件の発見が、criticalになります。

パスワードリセットメールに対するHostヘッダーインジェクションを利用すると、被害者のリセットリンクを攻撃者が管理するサーバーに向けることができます。被害者がリンクをクリックすると、攻撃者はリセットトークンを受け取り、アカウントを乗っ取れます。Hostヘッダーインジェクション（low）がアカウント乗っ取り（critical）になるのです。

それぞれの脆弱性が何を可能にするのかを考えてください。SSRFはサーバーからリクエストを送信する能力、XSSは被害者のブラウザーでJSを実行する能力、CSRFは認証済みの操作を強制する能力、オープンリダイレクトはリダイレクト先を制御する能力を提供します。ある脆弱性が提供するものと、別の脆弱性が必要とするものを結び付けましょう。

連鎖を報告する際は、連鎖の各ステップを、それぞれ異なるHTTPリクエストとレスポンスで実証してください。前提条件 → 最初のバグが発動 → Xを提供 → 2つ目のバグがXを使ってYを達成 → 最終的な影響、という流れを示します。連鎖のすべてのつながりを証明する必要があり、理論だけでは不十分です。

価値の高い連鎖の構成要素には、情報漏えい（内部IPやユーザー名を明らかにする）、SSRF（内部アクセス）、オープンリダイレクト（トークン窃取への足掛かり）、XSS（JS実行）、CSRF（操作の強制）、IDOR（他のリソースへのアクセス）、脆弱なJWT（セッション偽造）があります。これらをすべて十分に学びましょう。

一見すると影響が小さい発見も、無視せず偵察中に記録しておきましょう。数値だけを受け取るリフレクトパラメーターが、連鎖に利用できる場合があります。発見事項をローカルのメモシステムで管理し、つなげられる要素を見つけたら見直してください。

影響を証明するために必要な範囲でのみ、連鎖を実証してください。SSRFでIMDSにアクセスできる場合は、返された認証情報を示すだけにして、実際には使用しないでください。現実の被害を避けるため、完全に悪用することなく、権限が拡大する経路を記録しましょう。

Self-XSSの脆弱性は単独ではしばしば却下されるのに、連鎖では価値があるのはなぜですか？

脆弱性の連鎖によって、重大度の低い発見を影響の大きいエクスプロイトチェーンに変えられます。それぞれの脆弱性が何を提供し、何を可能にするかを理解することで、研究者はSSRF + IMDS、XSS + CSRF、オープンリダイレクト + OAuth窃取を組み合わせ、criticalの影響を実証して報酬を最大化できます。