米豪当局、ウェブアプリの脆弱性に注意喚起 - 設計開発段階で対策を

米国やオーストラリアのセキュリティ機関は、アクセス制御に不備があるウェブアプリケーションにおいて、大規模な情報漏洩などの被害も発生していることから注意喚起を行った。設計開発段階から対策を講じるよう求めている。

米国のサイバーセキュリティインフラストラクチャセキュリティ庁（CISA）や米国家安全保障局（NSA）、オーストラリアサイバーセキュリティセンター（ACSC）が共同でアドバイザリをリリースしたもの。

ウェブアプリケーションにおいてアクセス制御の不備に起因する脆弱性のひとつ「安全でない直接オブジェクト参照の脆弱性（IDOR：Insecure Direct Object Reference）」について注意を呼びかけた。

「IDOR」は、ウェブサイトやAPIに対するリクエストにおいて、認証や認可を適切に管理せず、ユーザー名をはじめ容易に予測可能な識別子を用いてデータやリソースに直接アクセスしている場合に生じる脆弱性。

ウェブアプリケーションの仕様によって影響は異なるが、識別子を改ざんすることで異なるユーザーへなりすましたり、権限がないデータやリソースへアクセスされるおそれがある。実際に同脆弱性に起因した大規模なデータ漏洩事故も発生している。

（Security NEXT - 2023/08/01 ）ツイート