掲載番号:NV02-001
脆弱性情報識別番号:VU#150227

多数のベンダーの HTTP プロキシサービスは、不確実なデフォルト設定を使用するようになっており、これは、攻撃者が内部ホストへの、あるいは外部サードパーティのホストへの勝手な TCP 接続を行なうことを可能にします。
他の HTTP 接続方法および FTP コマンドと同様に、この HTTP 接続方法はプロキシサービスの脆弱性を通して任意の TCP 接続を確立し乱用できてしまいます。攻撃者は、別のネットワーク上の TCP サービスの検索もしくは接続をおこなうために、脆弱性のあるネットワーク上のプロキシサービスを踏み台として使います。
さらに最悪な状況では、プロキシサービスの脆弱性を通して、インターネットのような公衆回線からイントラネットへの接続を許してしまいます。
また、プロキシサービスが再帰的な接続を許可する場合、攻撃者はプロキシサービスで繰り返し接続をおこなうことでリソースを消費させ、サービスを停止させる状態を引き起こす可能性もあります。

• US-CERT Vulnerability Notes VVU#150227:
  HTTP proxy default configurations allow arbitrary TCP connections
  http://www.kb.cert.org/vuls/id/150227