米豪当局、ウェブアプリの脆弱性に注意喚起 - 設計開発段階で対策を
米国やオーストラリアのセキュリティ機関は、アクセス制御に不備があるウェブアプリケーションにおいて、大規模な情報漏洩などの被害も発生していることから注意喚起を行った。設計開発段階から対策を講じるよう求めている。
米国のサイバーセキュリティインフラストラクチャセキュリティ庁(CISA)や米国家安全保障局(NSA)、オーストラリアサイバーセキュリティセンター(ACSC)が共同でアドバイザリをリリースしたもの。
ウェブアプリケーションにおいてアクセス制御の不備に起因する脆弱性のひとつ「安全でない直接オブジェクト参照の脆弱性(IDOR:Insecure Direct Object Reference)」について注意を呼びかけた。
「IDOR」は、ウェブサイトやAPIに対するリクエストにおいて、認証や認可を適切に管理せず、ユーザー名をはじめ容易に予測可能な識別子を用いてデータやリソースに直接アクセスしている場合に生じる脆弱性。
ウェブアプリケーションの仕様によって影響は異なるが、識別子を改ざんすることで異なるユーザーへなりすましたり、権限がないデータやリソースへアクセスされるおそれがある。実際に同脆弱性に起因した大規模なデータ漏洩事故も発生している。
(Security NEXT - 2023/08/01 )
ツイート
関連リンク
PR
関連記事
「OpenSSL」にアップデート - 「同1.1.1」はサポート終了
「BIND 9」に複数の脆弱性 - アップデートが公開
個情委、公金受取口座の誤登録問題でデジタル庁に行政指導
配当金計算書で封入ミスが発生した可能性 - THK
個人情報が記載された家計調査の名簿を紛失 - 広島県
サイバー攻撃に対するBCPの策定を支援 - ニュートン・コンサル
「新そばまつり」申込者の個人情報が閲覧可能に - 大石田町
第三者が県立高PCを不正操作、偽警告にだまされ - 長野県
救急車出動先を知人にLINE送信、職員を懲戒処分 - 明石市
「Apache Struts」にサービス拒否の脆弱性 - 修正版が公開