大丈夫？「SQLインジェクション」対策 - サイト規模関係なく攻撃受けるおそれ

国内のウェブサイトに「SQLインジェクション」の脆弱性が存在するとの報告が寄せられているとして、セキュリティ機関が注意を呼びかけている。

「SQLインジェクション」の脆弱性に関する報告が、国内外よりJPCERTコーディネーションセンターへ寄せられているとして、脆弱性ポータルのJVNを通じて、ウェブサイトの開発者や管理者へ注意を喚起したもの。「SQLインジェクション」の脆弱性を診断するツール「sqlmap」を用いたアクセスも検知しているという。

ウェブアプリケーションに脆弱性が存在すると、リモートよりデータベースに対して開発者が意図しないSQL文が実行されるおそれがあり、データベース内部のデータが漏洩したり、改ざん、削除されるなど、被害を受ける可能性がある。

またCMSをはじめ、ウェブサイト上に表示するためのコンテンツが改ざんされた場合、マルウェア感染の踏み台となり、サイトの閲覧者に被害が及ぶおそれもある。

同センターでは、ウェブサイトの規模にかかわらず攻撃が行われており、中小企業や個人で運営するサイトも攻撃対象になると指摘。

意図しないSQL文の実行を防ぐ「静的プレースホルダ」の活用など、セキュアコーディングにより脆弱性を作り込まないことはもちろん、脆弱性が含まれていないかチェックを行ったり、ウェブアプリケーションのアップデート、データベースユーザーの適切な権限管理といった緩和策など対策を呼びかけている。

（Security NEXT - 2016/03/15 ） ツイート

PR

関連記事

図書館管理システム「Koha」に複数脆弱性 - アップデートで修正
「Ivanti EPM」「VeraCore」が脆弱性攻撃の標的に - 米当局が注意喚起
患者向け医薬品情報サイト、年末年始直前にSQLi攻撃で改ざん被害
メール転送エージェント「Exim」に脆弱性 - 最新版へ更新を
「PostgreSQL」にSQLi脆弱性が判明 - 修正版を公開
ふるさと納税特設サイトにSQLi脆弱性、寄付者情報が流出 - 玄海町
「Apache Fineract」にSQLi脆弱性 - 修正アップデートが公開
「Zimbra」に複数の深刻な脆弱性 - 最新版へアップデートを
特権アクセス管理製品「Symantec PAM」に深刻な脆弱性
米当局、「7-Zip」などの脆弱性に注意喚起 - 悪用カタログに5件追加