令和5年度 春期 情報処理安全確保支援士試験 午後Ⅰ 問題 問1 静的解析とレースコンディションのセキュアプログラミング

図1 納品書 PDF ダウンロードクラスのソースコード
(省略) //package宣言，import宣言など
1: public class DeliverySlipBL {
2: private static final String PDF_DIRECTORY = "/var/pdf"; //PDFディレクトリ定義
(省略) //変数宣言など
3: public DeliverySlipBean getDeliverySlipPDF(String inOrderNo, Connection conn) {
(省略) //変数宣言など
4: DeliverySlipBean deliverySlipBean = new DeliverySlipBean();
5: try {
/* 検索用SQL文作成 */
6: String sql = "SELECT ";
7: sql = sql + (省略); //抽出項目，テーブル名など

図1 納品書 PDF ダウンロードクラスのソースコード（続き）
8: sql = sql + " WHERE head.order_no = '" + inOrderNo + "' ";
9: sql = sql + (省略); //抽出条件の続き
10: Statement stmt = conn.createStatement();
11: ResultSet resultObj = stmt.executeQuery(sql);
(省略) //注文情報の存在チェック (存在しないときはnullを返してメソッドを終了)
12: String clientCode = resultObj.getString("client_code"); //得意先コード取得
13: File fileObj = new File(PDF_DIRECTORY + "/" + clientCode + "/" + "DeliverySlip"
+ inOrderNo + ".pdf");
(省略) //PDFファイルが既に存在しているかの確認など
14: BufferedInputStream in = new BufferedInputStream(new FileInputStream(fileObj));
15: byte[] buf = new byte[in.available()];
16: in.read(buf);
17: deliverySlipBean.setFileByte(buf);
18: } catch (Exception e) {
(省略) //エラー処理 (ログ出力など)
19: }
20: return deliverySlipBean;
21: }
(省略)

表1 静的解析の結果

項番	脆弱性	指摘箇所	指摘内容
1	SQLインジェクション	(省略)	(省略)
2	ディレクトリトラバーサル	a 行目	ファイルアクセスに用いるパス名の文字列作成で、利用者が入力したデータを直接使用している。
3	確保したリソースの解放漏れ	(省略)	変数 stmt, 変数 resultObj, 変数 b が指すリソースが解放されない。

図2 納品書 PDF ダウンロードクラスの修正後のソースコード
sql = sql + " c ";
sql = sql + (省略); //抽出条件の続き
d ;
stmt.setString(1, inOrderNo);
ResultSet resultObj = stmt.executeQuery();

図3 注文情報照会機能が参照するデータベースの E-R 図

エンティティと属性：

• 利用者マスター：利用者ID（主キー）、利用者名、得意先コード（外部キー）、パスワードソルト、パスワードハッシュ、...
• 得意先マスター：得意先コード（主キー）、得意先名、郵便番号、住所、電話番号、...
• 注文ヘッダーテーブル：注文番号（主キー）、注文日時、得意先コード（外部キー）、注文総額、消費税額、...
• 注文明細テーブル：注文番号（主キーの一部）、注文明細番号（主キーの一部）、商品コード（外部キー）、数量、...

リレーションシップ（1対多の矢印）：

• 得意先マスター から 利用者マスター へ（得意先コードをキーとする参照）
• 得意先マスター から 注文ヘッダーテーブル へ（得意先コードをキーとする参照）
• 注文ヘッダーテーブル から 注文明細テーブル へ（注文番号をキーとする参照）

凡例と注記：

• 矢印は「1対多」を示す。
• 注記1：属性名の実線の下線は主キーを、破線の下線は外部キーを示す。主キーの実線が付いている属性名には、外部キーの破線を付けていない。
• 注記2：主キー及び外部キーは、全て表記している。

図4 ビジネスロジッククラスのソースコード
(省略) //package宣言, import宣言など
1: public class OrderInfoBL {
2: private static String orderNo; //注文番号
/* 注文番号の設定メソッド /
3: public static void setOrderNo(String inOrderNo) {
4: orderNo = inOrderNo;
5: }
/ 注文情報の取得メソッド */
6: public static OrderInfoBean getOrderInfoBean() {
7: PreparedStatement psObj;
(省略) //try文, 変数定義など
8: String sql = "SELECT ";
9: sql = sql + (省略); //SQL文構築
10: sql = sql + " WHERE head.order_no = ?"; //抽出条件: 注文ヘッダーテーブルの注文番号と画面から入力された注文番号との完全一致
(省略) //PreparedStatementの作成
11: psObj.setString(1, orderNo); //検索キーに注文番号をセット
12: ResultSet resultObj = psObj.executeQuery();
(省略) //例外処理やその他の処理

図5 サーブレットクラスのソースコード
(省略) //package宣言, import宣言など
1: public class OrderInfoServlet extends HttpServlet {
(省略) //変数定義
2: public void doPost(HttpServletRequest reqObj, HttpServletResponse resObj) throws IOException, ServletException {
3: String orderNo; //注文番号
(省略) //try文, リクエストから注文番号を取得
4: OrderInfoBL.setOrderNo(orderNo);
5: OrderInfoBean orderInfoBeanObj = OrderInfoBL.getOrderInfoBean();
(省略) //例外処理やその他の処理

図6 ビジネスロジッククラスの修正後のソースコード
public OrderInfoBean getOrderInfoBean( g ) {

図7 サーブレットクラスの修正後のソースコード
OrderInfoBL orderInfoBLObj = h OrderInfoBL();
OrderInfoBean orderInfoBeanObj = orderInfoBLObj.i ;