ASP.NET Misconfiguration: ViewStateMac Disabled

ビュー状態のメッセージ Authentication チェック (MAC) を無効にすると、攻撃者がビューの状態を変更する可能性があります。

ASP.NET におけるビューの状態とは、ポストバックで Web フォームの状態を保持するためのメカニズムです。反射攻撃を防止するためのメカニズムが存在しないため、ビューの状態に格納されたデータは信頼できません。特に、ビューの状態のメッセージ Authentication チェックが無効になっている場合、ビューの状態を信頼するのは危険です。このチェックを無効にすると、攻撃者はビューの状態に格納されているデータを改ざんできます。また、ビューの状態を信頼しているコードに対する攻撃が可能となります。攻撃者はこの種のエラーを悪用して、Authentication チェックを無効にしたり、商品価格を改ざんしたりする可能性があります。
例 1: 次のコードは、ビュー状態のメッセージ Authentication チェックを無効にしています。

Page.EnableViewStateMac = false;