Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

大丈夫?「SQLインジェクション」対策 - サイト規模関係なく攻撃受けるおそれ

国内のウェブサイトに「SQLインジェクション」の脆弱性が存在するとの報告が寄せられているとして、セキュリティ機関が注意を呼びかけている。

「SQLインジェクション」の脆弱性に関する報告が、国内外よりJPCERTコーディネーションセンターへ寄せられているとして、脆弱性ポータルのJVNを通じて、ウェブサイトの開発者や管理者へ注意を喚起したもの。「SQLインジェクション」の脆弱性を診断するツール「sqlmap」を用いたアクセスも検知しているという。

ウェブアプリケーションに脆弱性が存在すると、リモートよりデータベースに対して開発者が意図しないSQL文が実行されるおそれがあり、データベース内部のデータが漏洩したり、改ざん、削除されるなど、被害を受ける可能性がある。

またCMSをはじめ、ウェブサイト上に表示するためのコンテンツが改ざんされた場合、マルウェア感染の踏み台となり、サイトの閲覧者に被害が及ぶおそれもある。

同センターでは、ウェブサイトの規模にかかわらず攻撃が行われており、中小企業や個人で運営するサイトも攻撃対象になると指摘。

意図しないSQL文の実行を防ぐ「静的プレースホルダ」の活用など、セキュアコーディングにより脆弱性を作り込まないことはもちろん、脆弱性が含まれていないかチェックを行ったり、ウェブアプリケーションのアップデート、データベースユーザーの適切な権限管理といった緩和策など対策を呼びかけている。

(Security NEXT - 2016/03/15 ) このエントリーをはてなブックマークに追加

PR

関連記事

ネオジャパンのウェブメール「Denbun」に8件の脆弱性
ホスティングサービス上のWAF検知、約34%が「WordPress」狙い - SQLi攻撃目立つ
運用甘い脆弱なルータを狙う攻撃が大量発生 - 「WebLogic」脆弱性狙う攻撃にも注意を
2018年1Qの重要インシデント、前四半期から2割減
2018年2Qの脆弱性届出は158件 - ソフトウェア関連が倍増
「サイボウズGaroon」にSQLインジェクションの脆弱性
複数自治体などの省エネ支援サイトから登録者情報が流出 - 同一DB上データに影響波及
セキュアブレイン、ウェブアプリのソースコード診断を開始
「プレミアム・アウトレット」からの流出データ、5カ所で公開を確認
MS&Consulting、登録者情報約57万件が流出か - あらたな可能性判明で件数修正