HTTPヘッダインジェクション(エッチティーティーピーヘッダインジェクション)とは | 意味や読み方など丁寧でわかりやすい用語解説

HTTPヘッダインジェクションとは、Webアプリケーションの脆弱性を悪用し、HTTPレスポンスヘッダに攻撃者が意図しない文字列や、新たなヘッダ行を挿入する攻撃手法である。これにより、ブラウザの動作を制御したり、他のセキュリティ脆弱性を引き起こしたりする危険性がある。この攻撃は、ユーザーから入力された情報が、サーバー側で適切に無害化（サニタイズ）されないままHTTPレスポンスヘッダの値として利用される場合に発生する。システムエンジニアを目指す上で、Webアプリケーションのセキュリティは避けて通れない重要な知識であり、この脆弱性の理解は、安全なシステム設計と開発に不可欠である。

HTTP（HyperText Transfer Protocol）は、WebブラウザとWebサーバーが情報をやり取りする際に使用する通信プロトコルである。この通信は、リクエストとレスポンスという一連の流れで構成され、それぞれ「ヘッダ」と「ボディ」を持つ。ヘッダには、通信に関するメタデータ（データの種類、文字コード、キャッシュの指示、クッキーなど）が含まれ、ボディには実際のデータ（Webページの内容など）が含まれる。HTTPヘッダインジェクションは、このヘッダ部分が悪用される点に特徴がある。具体的には、サーバーが生成するHTTPレスポンスヘッダに、攻撃者が送り込んだ不正なデータ、特に「改行コード」（CRLF、例えば %0d%0a や \r\n として表現される）を挿入することで引き起こされる。改行コードがヘッダに挿入されると、Webサーバーやプロキシサーバー、あるいはブラウザは、その改行コードを新たなヘッダ行の開始、またはヘッダの終端と誤認してしまう。これにより、攻撃者は既存のヘッダ値を変更したり、全く新しいヘッダを追加したり、さらにはヘッダの途中でレスポンスボディを開始させたりすることが可能となる。

この脆弱性が悪用された場合、様々な深刻なセキュリティ上の脅威が発生する。最も代表的なものとしては、セッション固定攻撃、クロスサイトスクリプティング（XSS）、Webキャッシュ汚染、HTTPレスポンス分割などが挙げられる。セッション固定攻撃では、攻撃者はあらかじめ設定したセッションIDを被害者に強制し、そのセッションIDでログインが成功した後、攻撃者が被害者のセッションを乗っ取る。これは、攻撃者がレスポンスヘッダに Set-Cookie ヘッダを挿入し、特定のセッションIDを被害者のブラウザに設定させることで実現される。クロスサイトスクリプティングは、攻撃者がレスポンスボディを強制的に開始させ、その中に悪意のあるJavaScriptコードを埋め込むことで発生する。被害者のブラウザがそのレスポンスを受信すると、埋め込まれたスクリプトが実行され、セッションクッキーの窃取や不正な操作が行われる可能性がある。Webキャッシュ汚染は、プロキシサーバーやCDN（コンテンツデリバリネットワーク）のキャッシュに、攻撃者が注入した不正なレスポンスを保存させ、他の正規のユーザーにもその不正なコンテンツを配信してしまう攻撃である。これにより、複数のユーザーがXSS攻撃の被害に遭ったり、誤った情報が表示されたりする。HTTPレスポンス分割は、特に危険な攻撃の一つで、一つのHTTPレスポンスを、ブラウザやプロキシサーバーが二つの異なるレスポンスとして解釈するように仕向ける。これにより、一つ目のレスポンスで意図しないリダイレクトやクッキーの書き換えを行い、二つ目のレスポンスで悪意のあるコンテンツを送りつけるなど、複雑な攻撃チェーンを構築することが可能になる。

これらの攻撃を防ぐためには、Webアプリケーション開発において、HTTPレスポンスヘッダにユーザーからの入力を直接反映させる際には、常に慎重な対応が求められる。具体的な対策としては、まず、ユーザーから受け取った入力値をHTTPヘッダの値として利用する前に、必ず適切なサニタイズ処理を施すことが最も重要である。特に、改行コード（%0d および %0a、または \r および \n）は、HTTPヘッダの構造を破壊し、インジェクションを可能にする主要因となるため、これらの文字は必ず除去するか、URLエンコードなどの方法で無害な形式に変換する必要がある。多くのプログラミング言語やWebアプリケーションフレームワークには、このようなサニタイズ処理を行うための機能やライブラリが用意されており、それらを積極的に利用すべきである。また、可能な限り、ユーザー入力値を直接HTTPヘッダの値として使用しない設計を心がけることも有効な対策となる。例えば、リダイレクト先のURLをユーザー入力で決定するのではなく、事前に定義された安全なURLのリストから選択させるなどの工夫が考えられる。セキュリティ対策は、単一の手法に依存するのではなく、多層的な防御を組み合わせることが肝要である。