Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

米豪当局、ウェブアプリの脆弱性に注意喚起 - 設計開発段階で対策を

米国やオーストラリアのセキュリティ機関は、アクセス制御に不備があるウェブアプリケーションにおいて、大規模な情報漏洩などの被害も発生していることから注意喚起を行った。設計開発段階から対策を講じるよう求めている。

米国のサイバーセキュリティインフラストラクチャセキュリティ庁(CISA)や米国家安全保障局(NSA)、オーストラリアサイバーセキュリティセンター(ACSC)が共同でアドバイザリをリリースしたもの。

ウェブアプリケーションにおいてアクセス制御の不備に起因する脆弱性のひとつ「安全でない直接オブジェクト参照の脆弱性(IDOR:Insecure Direct Object Reference)」について注意を呼びかけた。

「IDOR」は、ウェブサイトやAPIに対するリクエストにおいて、認証や認可を適切に管理せず、ユーザー名をはじめ容易に予測可能な識別子を用いてデータやリソースに直接アクセスしている場合に生じる脆弱性。

ウェブアプリケーションの仕様によって影響は異なるが、識別子を改ざんすることで異なるユーザーへなりすましたり、権限がないデータやリソースへアクセスされるおそれがある。実際に同脆弱性に起因した大規模なデータ漏洩事故も発生している。

(Security NEXT - 2023/08/01 ) このエントリーをはてなブックマークに追加

PR

関連記事

ランサムウェア「ALPHV」、医療分野中心に被害拡大
米司法省、ランサム「ALPHV」関連の複数サイトを押収 - 復号ツールも
「Microsoft Streaming Service」の脆弱性に対する攻撃に注意
GMO、Flatt Securityを傘下に - 株式66.6%を取得
個人情報含む書類を複数の関係機関へ誤送付 - 茨城県
「Trend Micro」の複数製品に脆弱性 - アップデートで修正
Progress Softwareの「OpenEdge」に認証バイパスの脆弱性
クラウド利用増加で標的型攻撃が進化 - 「初期アクセス」獲得阻止が重要に
1月のDDoS攻撃件数、前月比29%増 - IIJレポート
個情委、四谷大塚に行政指導 - 子どもを守るため特に注意必要