バッファオーバーフロー、CSRF、アクセス権限の不備とは？　危険なWeb脆弱性

主なWebアプリケーションの脆弱性を理解することは、セキュリティ対策に役立つ。「バッファオーバーフロー」「CSRF」「アクセス制御の不備」の3つの脆弱性を紹介する。

公開 2020年05月01日 05時00分

更新 2022年10月17日 18時54分

著者

Katie Donegan

[TechTarget]

印刷する連載新着通知を受け取る

　Webアプリケーションへの攻撃に利用される主な脆弱（ぜいじゃく）性を前後編にわたり紹介する。前編「SQLインジェクション、クロスサイトスクリプティングとは？　Webの主な脆弱性」は、「SQLインジェクション」「クロスサイトスクリプティング」（XSS）を取り上げた。後編は残る3つを見ていこう。

SQLインジェクション（前編で紹介）
クロスサイトスクリプティング（XSS）（前編で紹介）
バッファオーバーフロー
クロスサイトリクエストフォージェリ（CSRF）（会員限定）
アクセス制御の不備を突く攻撃（会員限定）

併せて読みたいお薦め記事

さまざまなアプリケーション攻撃手法

アプリケーションへの攻撃を防ぐには

3．バッファオーバーフロー

　一時的なデータを保持するための固定長のメモリ領域が「バッファ」だ。プログラムやプロセスが限度以上のデータをバッファに入力するとデータがあふれる。これがバッファオーバーフローだ。攻撃者はバッファオーバーフローを悪用した攻撃により、システムをクラッシュさせ、制御または変更が可能になる。

　市販アプリケーションは、バッファオーバーフロー攻撃を回避するための仕組みを携えているものがほとんどだ。独自開発したアプリケーションもバッファオーバーフロー攻撃の対象になる恐れがあるため、回避策を組み込む必要がある。

4．クロスサイトリクエストフォージェリ（CSRF）

　正規のエンドユーザーになりすました攻撃者が、Webサイトに不正なリクエストを送って実行させることを可能にする脆弱性がCSRFだ。攻撃者はCSRFを悪用した攻撃で、認証済みのエンドユーザーに不正操作を実行させることもある。この場合、攻撃者の誘導でエンドユーザーが送信したリクエストによって、機密データが攻撃者宛てに送信される。標的のエンドユーザーはその操作が攻撃につながっていると認識していないことがしばしばある。そのためエンドユーザーがリクエストを意図的に送信したかどうかを確認することが難しい。

　CSRF攻撃によって起こり得る被害は、ファイアウォールの設定変更、不正な金銭取引などだ。対策として例えば頻繁に認証を要求する方法があるが、操作性が落ちるためエンドユーザーの反感を買う可能性がある。

5．アクセス制御の不備

　アクセス制御は、リソースへのアクセス権限を特定のエンドユーザーにのみ与えることで規制するセキュリティ手法だ。アクセス制御の不備は、IT部門など統括的な管理者がアクセス権限を適切に管理できていない場合に起こる。未認証のエンドユーザーを拒否する設定が整備できていたとしても、攻撃者が正規のエンドユーザーになりすませば侵入を防ぐことは困難になる。

　外部攻撃者や悪意を持った従業員が機密データやシステムにアクセスできる状態は、アクセス制御の不備の一例だ。2012年に、国際ハッカー集団によるアクセス制御の不備を悪用した事件が明るみに出た。ハッカー集団はスピアフィッシング攻撃（特定の人物や組織を標的にしたフィッシング攻撃）で米サウスカロライナ税務署が保有するサーバのアクセス権限を不正に取得した。それにより約360万件の社会保障番号と、40万件近いクレジットカード／デビットカード番号の漏えいが発生した。

　IT部門はアクセス可能なデータやシステムの範囲を最小限にとどめ、エンドユーザーの役割に基づいたアクセス制御を導入することで対策を取れる。これによりエンドユーザーに付与するアクセス権限を職務遂行に必要な最低限の範囲に制限できる。適切なエンドユーザーのみが適切なデータやシステムにアクセスするように制御する「ID・アクセス管理」（IAM）などの、IDを管理できる仕組みを導入することも重要だ。