令和6年度 秋期 情報処理安全確保支援士試験 午後 問4 Webサイトのセキュリティ診断と報告書作成

【診断対象】
・Mサイトには本番用サイトと検証用サイトがあり，診断対象はMサイトの検証用サイトとする。検証用サイトには，開発が完了した新しいバージョンのWebアプリが導入されている。なお，本番用サイトと検証用サイトは，同一の構成である。
・検証用サイトでは，アクセス元のIPアドレスを制限している。診断に当たり，B社からも検証用サイトにアクセスできるように，検証用サイトの設定を変更する。
・検証用サイトには，テスト用疑似データが投入されている。

【診断方法】
・B社の社内にある診断用PCからインターネットを経由して診断を行う。
・Webアプリの脆弱性の検出と，Webサーバのプラットフォームの脆弱性の検出を行う。
・Webアプリの脆弱性の検出は，診断ツールと診断員の手作業で行う。
・Webサーバのプラットフォームの脆弱性の検出は，診断ツールで行う。
・診断に当たり，必要に応じてMサイトの設計書を参照する。

1. プロトコルは，HTTPSとする。
2. RESTful APIによって，次の機能を求人企業に提供する。
   (1) 日時の範囲を指定して，当該企業宛てに問合せがあった求職者の求職者IDを取得する。
   (2) 日時の範囲を指定して，当該企業宛てに応募があった求職者の求職者IDを取得する。
   (3) 任意の求職者IDを指定して，求職者属性情報を取得する。
3. 求人企業の認証方式は次のとおりとする。
   (1) WebAPIを利用する際の利用者認証のために，Mサイトの利用者IDと紐付けられたAPIkeyを発行する。APIkeyの有効期間は，発行後14日間とする。
   (2) WebAPIを利用する際のHTTP Request内のAPIkeyが，発行済みのものであり，かつ，有効期間内であるか確認することで，正規利用者であるかどうかを確認する。
4. APIkeyについては，次のとおりとする。
   (1) 求人企業のうち，WebAPIの利用契約を締結済みの企業だけにAPIkeyを発行する。利用契約で認めている求職者属性情報の利用範囲は，当該企業への問合せ又は当該企業への応募それぞれに関する対応だけである。
   (2) 一つの利用者IDに対して複数のAPIkeyを発行できる。
   (3) 求職者には，APIkeyを発行しない。

注1) 求職者がMサイトに利用者登録をした年月日の8桁の数字の後ろに，日ごとに000001から登録順に割り当てられる6桁の数字を加えた数字14桁の文字列である。
注2) Mサイトを利用する求職者及び求人企業の担当者ごとに発行される。

01から13までの画面とそれらの遷移を示す状態遷移図。
凡例：PWはパスワード、メールは電子メール、封筒アイコンはメールを示す。実線矢印はクロスサイトリクエストフォージェリ（CSRF）対策が施されていない画面遷移、破線矢印はCSRF対策が施された画面遷移を示す。
画面と遷移の関係は以下の通り：
・01 ログイン：ログインボタンから(ア)・(イ)の経路を経て02へ遷移。PW再設定ボタンから(ウ)で(14へ)遷移。
・02 求人企業トップ：マイページボタンから(エ)で03へ遷移。
・03 求人企業マイページ：APIkey管理ボタンから(オ)で(04へ)、プロパティ変更ボタンから(カ)で(09へ)、PW変更ボタンから(キ)で(12へ)遷移。
・04 APIkey管理：APIkey確認ボタンから(ク)で05へ、APIkey発行ボタンから(ケ)で07へ遷移。
・05 PW再確認(1)：APIkey確認ボタンから(コ)の破線矢印で06へ遷移。
・06 APIkey一覧：OKボタンから(サ)で(03へ)遷移。
・07 PW再確認(2)：APIkey発行ボタンから(シ)の破線矢印で08へ遷移。
・08 APIkey発行：OKボタンから(ス)で(03へ)遷移。
・09 求人企業プロパティ変更：変更ボタンから(ソ)の破線矢印で11へ遷移。また封筒アイコン(あ)から(セ)の破線矢印で10へ遷移する。(セ)には「1)」、(ソ)には「2)」という注記符号が付与されている。
・10 メール送信完了(1)：メール送信完了メッセージが表示される画面。
・11 求人企業プロパティ変更完了：OKボタンから(タ)で(03へ)遷移。
・12 PW変更：変更ボタンから(チ)の破線矢印で13へ遷移。
・13 PW変更完了：OKボタンから(ツ)で(03へ)遷移。

【ノードと遷移】

• 「14 PW再設定(1)」(利用者ID入力欄、[メール送信]ボタン) から「15 メール送信完了(2)」(「メールを送信しました メール中のリンクから処理を継続してください」) へ破線矢印。矢印の上に封筒アイコンと空欄「(い)」、矢印の先端に空欄「(テ)」と注記3への参照。
• 「16 PW再設定(2)」(新PW入力欄、新PW(確認用)入力欄、[PW再設定]ボタン) から「17 PW再設定完了」(「PWを再設定しました」、[OK]ボタン) へ破線矢印。矢印の先端に空欄「(ト)」。
• 「17 PW再設定完了」の[OK]ボタンから「(01へ)」へ実線矢印。矢印の先端に空欄「(ナ)」。
  【注記】
• 注記1: ログインしていない状態で、02〜13の画面にアクセスした場合、エラー画面が表示される。
• 注記2: 設問に関係しない画面、ボタン及び画面遷移は省略している。
• 注1): 画面09でメールアドレスを変更した場合の画面遷移である。画面遷移の際、Mサイトから、変更前のメールアドレスに、確認用URLが記載されたメール(あ)を送信する。利用者がメール(あ)に記載された確認用URLにアクセスすると、変更を反映し、画面11を表示するとともに、Mサイトから、変更前及び変更後のメールアドレスに、変更内容が記載されたメールを送信する。
• 注2): 画面09でメールアドレス以外だけを変更した場合の画面遷移である。
• 注3): 画面遷移の際、Mサイトから、登録しているメールアドレスに、PW再設定用URLが記載されたメール(い)を送信する。利用者がメール(い)に記載されたPW再設定用URLにアクセスすると、画面16を表示する。

画面番号	URL
01, 02	https://test.△△△.jp/
03	https://test.△△△.jp/mypage
04	https://test.△△△.jp/apikey
05, 06	https://test.△△△.jp/keylist
07, 08	https://test.△△△.jp/keynew
09, 10, 11	https://test.△△△.jp/property
12, 13	https://test.△△△.jp/pwchange
14, 15	https://test.△△△.jp/pwreset
16, 17	https://test.△△△.jp/pwreset/x 1)

注1) xは，PW再設定を行う都度生成されるランダムな英数字32字の文字列である。

診断報告書
1章 診断結果概要
1.1 診断結果要約
Mサイトで，脆弱性を検出した。
(省略)

1.2 検出した脆弱性の件数
(省略)

2章 Webアプリケーションプログラムの診断結果
2.1 検出した脆弱性の概要
検出した脆弱性は，表Aのとおりである。

表A 検出したWebアプリケーションプログラムの脆弱性の一覧

項番	重要度	脆弱性の種類	検出箇所
1	(省略)	セッションフィクセーション	画面遷移 a
2	(省略)	メールヘッダーインジェクション	メール(あ)の送信
3	(省略)	HTTPヘッダーの不備	全ての画面遷移

2.2 検出した脆弱性の説明
2.2.1 セッションフィクセーション
(1) 脆弱性の内容
Mサイトでは form 内の hidden フィールドである sessionID の値だけでセッション管理を実施していた。しかし，表B のいずれの画面遷移においても，HTTP レスポンス中の sessionID の値が同一であった。

表B セッションフィクセーション脆弱性の確認

画面遷移	HTTP レスポンス中の sessionID
Web ブラウザに直接 URL を入力して，画面 01 を表示したとき	<input type="hidden" id="sessionID" name="sessionID" value="764b2ac2-0452-49e4-92a7-0914fa005011">
画面遷移(ア)	<input type="hidden" id="sessionID" name="sessionID" value="764b2ac2-0452-49e4-92a7-0914fa005011">
画面遷移(イ)	<input type="hidden" id="sessionID" name="sessionID" value="764b2ac2-0452-49e4-92a7-0914fa005011">
画面遷移(エ)	<input type="hidden" id="sessionID" name="sessionID" value="764b2ac2-0452-49e4-92a7-0914fa005011">

攻撃者が図Aの手順でこの脆弱性を悪用すると，Mサイトに不正にログインすることができる。

手順1：求人企業の登録メールアドレスを，何らかの方法で入手する。
手順2：URL“ b ”にアクセスして，sessionIDを入手する。
手順3：次の二つの要素を含むHTMLを作成する。

• 手順2で入手したsessionIDを記述したフォーム
• 当該HTMLがWebブラウザに読み込まれた直後に，上記のフォームをURL“ b ”にPOSTメソッドで送信するスクリプト
  手順4：手順3で作成したHTMLを，罠サイトに置く。
  手順5：手順4のHTMLへのリンクを含むメールを作成し，手順1で入手したメールアドレスに送信する。
  手順6：手順5のメールがメール受信者に届き，罠サイトにアクセスするのを待つ。
  手順7：罠サイトへのアクセスを検知後，cが完了することを期待して数分間待ち，手順2で入手したsessionIDを指定した状態で，URL“ b ”にアクセスする。
  図A セッションフィクセーション脆弱性を悪用して不正ログインする手順

攻撃者が，セッションフィクセーション脆弱性を悪用して不正ログインに成功し，画面02で応募者確認ボタンをクリックして，当該企業の求人に応募した求職者の求職者属性情報と求職情報を閲覧できる。また，同じ画面02で問合せ確認ボタンをクリックして，当該企業に問合せを行った求職者の求職者属性情報と問合せ内容を閲覧できる。

(2) 脆弱性の修正方法
aの画面遷移の際に実行されるコードにおいて，dすることを推奨する。

2.2.2 メールヘッダーインジェクション
この脆弱性は，メール(あ)について検出された。なお，メール(い)では，この脆弱性は検出されなかった。
(1) 脆弱性の内容
図Bの手順で操作を行ったところ，メール(あ)が abc@example.com だけに送信され，本来の宛先である変更前のメールアドレスには送信されなかった。abc@example.com に送信されたメール(あ)の内容を表Cに示す。

手順1：画面09の会社名に図Cの検査文字列を入力して変更ボタンをクリックする。
手順2：画面11でOKボタンをクリックする。
手順3：画面03でプロパティ変更ボタンをクリックして，再度，画面09を表示する。
手順4：画面09でメールアドレスに xyz@example.com を入力して変更ボタンをクリックする。
図B メールヘッダーインジェクション脆弱性を検出した手順

●●株式会社%0D%0ATo:abc@example.com%0D%0A%0D%0A
図C メールヘッダーインジェクションの検査文字列

表C メール(あ)の内容

位置	内容
メール(あ)のヘッダー部の末尾	Subject: ●●株式会社 To:abc@example.com
メール(あ)のボディ部の冒頭	様のメールアドレス変更のお知らせ To: <本来の宛先> 1)
注 1) <本来の宛先> には，変更前のメールアドレスが入っていた。

攻撃者がこの脆弱性を悪用するには，求人企業としてMサイトにログインする必要がある。求人企業としての登録には審査が必要であり，この脆弱性だけを利用して攻撃が行われるおそれは小さい。

(2) 脆弱性の修正方法
(省略)

2.2.3 HTTPヘッダーの不備
(1) 脆弱性の内容
表DのHTTPヘッダーは，出力するよう推奨されているが，いずれの画面遷移のHTTPレスポンスにおいても出力されなかった。

表D 出力されなかったHTTPヘッダー

HTTPヘッダー名	設定した場合の主な効果
Content-Security-Policy	Webブラウザが実行可能なスクリプトの有効なソースとなるドメインを，Mサイトで必要なものだけに限定することができる。
Strict-Transport-Security	e
X-Content-Type-Options	f

これらのHTTPヘッダーを設定することで他の脆弱性による被害を軽減することができる。

(2) 脆弱性の修正方法
(省略)

3章 プラットフォームの診断結果
3.1 検出した脆弱性の概要
検出した脆弱性は，表Eのとおりである。

表E 検出したプラットフォームの脆弱性の一覧

項番	重要度	脆弱性の種類
1	(省略)	TLS 1.1 が利用可能
2	(省略)	HTTP サーバのバージョンの露出

3.2 検出した脆弱性の説明
3.2.1 TLS 1.1 が利用可能
(省略)

3.2.2 HTTP サーバのバージョンの露出
HTTPレスポンスのヘッダーに，HTTPサーバのバージョンが出力されている。
(省略)

4章 総合評価
4.1 想定される攻撃と被害
攻撃者が，セッションフィクセーション脆弱性を悪用するだけでも求職者属性情報を窃取することができるが，図Dの順序で攻撃をした場合，不審なメールが求人企業に届かないので，攻撃に気付かれることなく，WebAPIを悪用して，より多くの求職者属性情報を窃取することができる。

(1) 図Aの手順で，Mサイトに不正にログインする。ただし，図Aの手順1で入手するメールアドレスは，WebAPIの利用権限をもつ求人企業のものである。
(2) g
(3) 画面09で，メールアドレスに攻撃者のメールアドレスを入力して，変更ボタンをクリックする。
(4) 別の端末から，画面01でPW再設定ボタンをクリックし，(1)で不正にログインした利用者IDに対する一連のパスワード再設定処理を行う。
(5) 再設定後のパスワードでログインする。
(6) h
(7) WebAPIの機能を利用して，多数の求職者属性情報を窃取する。
図D より多くの求職者属性情報の窃取につながる攻撃

(省略)

5章 参考意見
本章は，弊社の知見に基づく参考意見である。

5.1 Mサイトの仕様についての意見
今回の診断の過程で，Mサイトの仕様の一部を把握することができた。弊社が把握できた範囲内でも，Mサイトの仕様には幾つかの問題点があり，表Aと表Eの脆弱性を修正したとしても，インターネットからの攻撃によって被害が発生するおそれがある。

5.1.1 WebAPIの仕様の改善
WebAPIに関して，仕様の改善の方針案と改善すべき理由を表Fに示す。改善によって，攻撃による被害を未然に防止すること，又は被害を軽減することができる。

表F WebAPIの仕様の改善の方針案

項番	仕様の改善の方針案	改善すべき理由
1	i	j
⋮	⋮	⋮

5.1.2 Webアプリケーションプログラムの求職者向け機能の仕様の改善
(省略)

5.1.3 Webアプリケーションプログラムの求人企業向け機能の仕様の改善
Webアプリケーションプログラムの求人企業向け機能に関して，仕様の改善の方針案と改善すべき理由を表Gに示す。改善によって，攻撃による被害を未然に防止すること，又は被害を軽減することができる。

表G Webアプリケーションプログラムの求人企業向け機能の仕様の改善の方針案

項番	仕様の改善の方針案	改善すべき理由
1	k	l
⋮	⋮	⋮