Entry № 143
アクセス制御の不備
アクセス制御の不備 とは何ですか?
アクセス制御の不備認可ルールが欠落または誤って適用され、ユーザーが本来の権限を超えた操作やデータにアクセスできてしまう脆弱性カテゴリ。
アクセス制御の不備は OWASP Top 10 で第 1 位のリスクです。アプリが「誰が何をできるか」を一貫して強制できないときに発生し、サーバー側チェックの欠如、隠された URL への依存(隠蔽によるセキュリティ)、クライアント側のロール情報の信頼、所有者検証なしのオブジェクト直接参照などが原因となります。IDOR、管理ページへの強制ブラウズ、パラメータ改ざんによる回避、JWT スコープの改ざんなどが典型です。影響は情報漏えいからアカウント/データの完全奪取まで及びます。対策には、集中化された認可ミドルウェア、デフォルト拒否、各操作のサーバー側強制、ユーザー/テナントでのクエリスコープ化、徹底した結合テスト、継続的 DAST が含まれます。
● 例
- 01
一般ユーザーがロール検査のない /api/admin/users を呼び、完全なリストを取得する。
- 02
URL のドキュメント UUID を書き換えて、他顧客の請求書を閲覧する。
● よくある質問
アクセス制御の不備 とは何ですか?
認可ルールが欠落または誤って適用され、ユーザーが本来の権限を超えた操作やデータにアクセスできてしまう脆弱性カテゴリ。 サイバーセキュリティの 脆弱性 カテゴリに属します。
アクセス制御の不備 とはどういう意味ですか?
認可ルールが欠落または誤って適用され、ユーザーが本来の権限を超えた操作やデータにアクセスできてしまう脆弱性カテゴリ。
アクセス制御の不備 からどのように防御しますか?
アクセス制御の不備 に対する防御は通常、上記の定義で述べたとおり、技術的統制と運用上の実践を組み合わせます。
アクセス制御の不備 の別名は何ですか?
一般的な別名: BAC, 認可バイパス。