コンテンツにスキップ

Insecure Direct Object Reference

安全でない直接オブジェクト参照 (IDOR)

説明

Insecure Direct Object Reference（IDOR）は、アプリケーションが適切な認可なしに内部オブジェクトへの直接参照を公開した場合に発生します。

このクラスの脆弱性は、安全でない直接参照をもたらし、機密データへのアクセスや認可のバイパスにつながる可能性があります。

推奨事項

Indirect Object Reference（間接的オブジェクト参照）の脆弱性を防ぐには、複数の方法があります。

  1. 間接的オブジェクト参照を使用する: 内部オブジェクト（データベースIDなど）への直接参照を公開する代わりに、サーバー側でオブジェクトにマッピングされる間接参照またはトークンを使用します。これにより、ユーザーが識別子を直接改ざんするのを防ぎます。

  2. アクセス制御を実装する: フロントエンドとバックエンドの両方にアクセス制御を適用して、ユーザーがアクセスできるデータに制限を設けます。これには、ロールベースアクセス制御（RBAC）、属性ベースアクセス制御（ABAC）、またはその他の関連するアクセス制御メカニズムが含まれます。

  3. 暗号論的に安全なオブジェクト参照を使用する: 可能な場合は、HMACやUUIDなどの暗号化技術を使用して、予測不可能な安全なオブジェクト参照またはトークンを生成します。

リンク

標準

  • CWE_TOP_25:
    • CWE_862
  • PCI_STANDARDS:
    • REQ_2_2
    • REQ_6_2
    • REQ_6_3
    • REQ_6_4
    • REQ_7_3
    • REQ_11_3
  • SOC2_CONTROLS:
    • CC_2_1
    • CC_4_1
    • CC_6_1
    • CC_7_1
    • CC_7_2
    • CC_7_4
    • CC_7_5
  • HIPAA_CONTROLS:
    • SECURITY221
    • SECURITY212
    • SECURITY213