SnykのFetch the Flag CTFは、単なるCTFではありません

2023年以来、SnykはJohn Hammondと協力し、セキュリティの専門家や実務担当者、DevOpsコミュニティのメンバー数千人が参加する12時間のCTFイベント「Fetch the Flag」を開催しています。

しかし、Capture the Flagは、ときに「現実の問題ではない」「実用的ではない」といった批判を受けることがあります。実際はまったくそんなことはありません！

CTFの課題の多くは、実際に発見された脆弱性やハッキング、エクスプロイトをヒントに作られているか、それらを再現したものです。前回のイベント「Snyk’s 2023 Fetch the Flag」でも、現実のインシデントに関連する課題がいくつか出題されました。

これまでのFetch the Flagの課題を振り返ってみましょう。業界で実際に見られた技術的な概念や戦術をもとにした課題をご紹介します。2025年のFetch the Flagに向けて気分を盛り上げましょう！

キャンプ場を守れ – 不適切なアクセス制御

この課題では、不適切なアクセス制御により脆弱になったキャンプ用品チェックリストのサイトから、プレイヤーが隠されたデータを見つけ出します。課題の説明には、次のように書かれていました。「キャンプに必要なものをリストにしておく小さなサイトを作りました。ほかのものも安全に保管できるかもしれません！」​

アプリを使うと、ユーザーは「購入するもの」リストを作成でき、そこには秘密の答えであるフラグも保存されています。しかし、フラグはローカルからしかアクセスできない隠しエンドポイントに置かれています。プレイヤーは、アプリのAPIにある安全でない機能と、販売中の商品に関するメタデータの取得方法を利用し、細工したリクエストを送ることで、本来アクセスできないはずの情報を取得できました。

こちらの 解説記事 は、コミュニティ参加者でありCTFプレイヤーでもある方が執筆したものです。 

不適切なアクセス制御はOWASP Top 10の問題の一つであり、数多くのデータ漏えいにつながっています。たとえば2023年9月、セキュリティ研究者がAzure Power Appsの設定ミスを発見しました。一部のアプリのエンドポイントが誰でもアクセスできる状態で放置され、3,800万件を超えるレコードが露出していました。通常のアプリに機密データを隠しておくのとよく似た、うっかりでは済まされない事態です。

Sparky – Apache Spark ShellのRCE (CVE-2022-33891)

「Sparky」は、実際に存在した脆弱性CVE-2022-33891を再現した課題です。プレイヤーにはApache Sparkのインスタンスが提示され、脆弱性を見つけて概念実証用のエクスプロイトスクリプトを利用し、サーバーを侵害します。

こちらの 解説記事 は、コミュニティ参加者でありCTFプレイヤーでもある方が執筆したものです。 

Apache Spark 3.1.1（および一部のそれ以降のバージョン）では、管理者がACL認証フィルターを有効にしている場合、攻撃者がそれを回避し、Sparkサービスユーザーとしてシェルコマンドを実行できる可能性がありました。典型的なリモートコード実行（RCE）脆弱性の好例です。

CVE-2022-33891の脆弱性は、マルウェア運用者やサイバー犯罪者によって実環境で広く悪用されました。2022年12月、Microsoftは「ZeroBot」ボットネットがこの脆弱性を使い、影響を受けるシステムを悪用してマルウェアを拡散していることを確認しました。CISAも2023年初頭にCVE-2022-33891を「悪用が確認された脆弱性カタログ」に追加し、攻撃者による積極的な悪用を指摘しています​！ 

GetHub – GitPythonのRCE (CVE-2022-24439)

安全でない開発ライブラリにコマンドインジェクションの脆弱性があり、CVE-2022-24439として識別されました。Snyk Vulnerability Databaseにも掲載されています！

PythonライブラリのGitPythonは、バージョン3.1.30未満でgitコマンドを適切にサニタイズしていませんでした。この「GetHub」CTF課題では、プレイヤーはさまざまなGitHubリポジトリをクローンして取得できるアプリケーションに挑みます。しかし、巧妙な構文を使うと、任意のコマンドを実行できてしまいます。コマンドインジェクションによって、別のリモートコード実行（RCE）脆弱性が簡単に引き起こされるのです。

GitPythonのようなソフトウェアサプライチェーンツール（特に広く使われているライブラリや依存関係）におけるRCE脆弱性は重大です。現時点でこのCVEに直接起因する公表済みの侵害はありませんが、リスクは確かに存在します。GitPythonは多くのCI/CDパイプラインやアプリケーションで使われています。関連する問題として2023年にCVE-2023-40267が発見されました。これは不完全な修正により、細工されたリポジトリURLを介したコード実行が可能なままになっていたものです​。サプライチェーンの脅威は依然として後を絶ちません。だからこそ、力を合わせてバグを見つけ、修正していきましょう。

Snyk’s Fetch the Flag CTF 2025に参加する準備はできていますか？

上記の3つの課題は、2023年のSnyk’s Fetch the Flag CTFで出題された20以上の課題のほんの一部です。そして2025年には、さらに多くの課題が待っています！

2月27日、米国東部時間の午前9時から午後9時まで開催される12時間のバトルに参加しましょう。Webアプリケーションセキュリティ、バイナリエクスプロイト、クラウドセキュリティなど、CTFの定番ジャンルに新たな課題で挑戦できます。個人で参加することも、最大5人のチームで参加することもできます。上位3チームと上位3名の個人プレイヤーには賞品を進呈します。幸運を祈ります。楽しんでください！