界: Encapsulation

カプセル化とは、強い境界線を引くことです。Web ブラウザの場合は、自分のモバイルコードが他のモバイルコードに悪用されないようにすることを意味します。サーバー上では、検証されたデータと検証されていないデータ、あるユーザーのデータと別のユーザーのデータ、またはユーザーが見ることを許可されたデータと許可されていないデータの区別などを意味する場合があります。

GraphQL Bad Practices: Introspection Enabled

Abstract

GraphQL エンドポイントは、スキーマイントロスペクションを無効にせずに作成されます。

Explanation

GraphQL イントロスペクション機能を使用すると、誰でも GraphQL サーバーに現在のスキーマに関する情報を照会できます。利害関係者は、GraphQL イントロスペクションクエリを発行して、スキーマで使用可能な操作、データ型、フィールド、およびドキュメントの全体像を把握できます。

GraphQL イントロスペクションは、GraphQL API に関する情報の開発と共有のコンテキストで重要なユーティリティを提供します。イントロスペクションは、さまざまなツールとの統合を容易にする強力な GraphQL 機能です。たとえば、IDE はスキーマイントロスペクションを活用して、GraphQL API を開発およびテストするための拡張機能を提供できます。

しかし、本番環境で誰でも GraphQL スキーマを照会できるようにすると、全体的なセキュリティにリスクが生じる可能性があります。攻撃者がイントロスペクションを使用して、GraphQL スキーマから実装の詳細を取得し、より的を絞った攻撃を実行できます。GraphQL スキーマは、内部で使用されるフィールド、説明、非推奨のメモなど、一般の使用を目的としていない可能性のある情報をリークする可能性があります。

例 1: 次のコードは、スキーマイントロスペクションがデフォルトで有効になっている Hot Chocolate GraphQL エンドポイントを初期化します。


    services
        .AddGraphQLServer()
        .AddQueryType<Query>()
        .AddMutationType<Mutation>();

References

[1] OWASP OWASP Cheat Sheet Series: GraphQL Cheat Sheet

[2] Standards Mapping - Common Weakness Enumeration CWE ID 94

[3] Standards Mapping - Common Weakness Enumeration Top 25 2019 [18] CWE ID 094

[4] Standards Mapping - Common Weakness Enumeration Top 25 2020 [17] CWE ID 094

[5] Standards Mapping - Common Weakness Enumeration Top 25 2022 [25] CWE ID 094

[6] Standards Mapping - Common Weakness Enumeration Top 25 2023 [23] CWE ID 094

[7] Standards Mapping - Common Weakness Enumeration Top 25 2024 [11] CWE ID 094

[8] Standards Mapping - DISA Control Correlation Identifier Version 2 CCI-001167

[9] Standards Mapping - FIPS200 CM

[10] Standards Mapping - General Data Protection Regulation (GDPR) Indirect Access to Sensitive Data

[11] Standards Mapping - NIST Special Publication 800-53 Revision 4 SC-18 Mobile Code (P2)

[12] Standards Mapping - NIST Special Publication 800-53 Revision 5 SC-18 Mobile Code

[13] Standards Mapping - OWASP API 2023 API8 Security Misconfiguration

[14] Standards Mapping - OWASP Application Security Verification Standard 4.0 5.2.5 Sanitization and Sandboxing Requirements (L1 L2 L3), 5.2.8 Sanitization and Sandboxing Requirements (L1 L2 L3), 5.3.6 Output Encoding and Injection Prevention Requirements (L1 L2 L3)

[15] Standards Mapping - OWASP Mobile 2014 M1 Weak Server Side Controls

[16] Standards Mapping - OWASP Mobile 2024 M8 Security Misconfiguration

[17] Standards Mapping - OWASP Top 10 2004 A10 Insecure Configuration Management

[18] Standards Mapping - OWASP Top 10 2010 A6 Security Misconfiguration

[19] Standards Mapping - OWASP Top 10 2013 A5 Security Misconfiguration

[20] Standards Mapping - OWASP Top 10 2017 A6 Security Misconfiguration

[21] Standards Mapping - OWASP Top 10 2021 A05 Security Misconfiguration

[22] Standards Mapping - Payment Card Industry Data Security Standard Version 1.1 Requirement 6.5.10

[23] Standards Mapping - Payment Card Industry Data Security Standard Version 3.0 Requirement 6.5.8

[24] Standards Mapping - Payment Card Industry Data Security Standard Version 3.1 Requirement 6.5.8

[25] Standards Mapping - Payment Card Industry Data Security Standard Version 3.2 Requirement 6.5.8

[26] Standards Mapping - Payment Card Industry Data Security Standard Version 3.2.1 Requirement 6.5.8

[27] Standards Mapping - Payment Card Industry Data Security Standard Version 4.0 Requirement 6.2.4

[28] Standards Mapping - Payment Card Industry Data Security Standard Version 4.0.1 Requirement 6.2.4

[29] Standards Mapping - Payment Card Industry Software Security Framework 1.0 Control Objective 5.4 - Authentication and Access Control

[30] Standards Mapping - Payment Card Industry Software Security Framework 1.1 Control Objective 5.4 - Authentication and Access Control

[31] Standards Mapping - Payment Card Industry Software Security Framework 1.2 Control Objective 5.4 - Authentication and Access Control, Control Objective C.2.3 - Web Software Access Controls

[32] Standards Mapping - SANS Top 25 2009 Risky Resource Management - CWE ID 094

[33] Standards Mapping - Security Technical Implementation Guide Version 3.1 APP3600 CAT II

[34] Standards Mapping - Security Technical Implementation Guide Version 3.4 APP3600 CAT II

[35] Standards Mapping - Security Technical Implementation Guide Version 3.5 APP3600 CAT II

[36] Standards Mapping - Security Technical Implementation Guide Version 3.6 APP3600 CAT II

[37] Standards Mapping - Security Technical Implementation Guide Version 3.7 APP3600 CAT II

[38] Standards Mapping - Security Technical Implementation Guide Version 3.9 APP3600 CAT II

[39] Standards Mapping - Security Technical Implementation Guide Version 3.10 APP3600 CAT II

[40] Standards Mapping - Security Technical Implementation Guide Version 4.2 APSC-DV-003300 CAT II

[41] Standards Mapping - Security Technical Implementation Guide Version 4.3 APSC-DV-003300 CAT II

[42] Standards Mapping - Security Technical Implementation Guide Version 4.4 APSC-DV-003300 CAT II

[43] Standards Mapping - Security Technical Implementation Guide Version 4.5 APSC-DV-003300 CAT II

[44] Standards Mapping - Security Technical Implementation Guide Version 4.6 APSC-DV-003300 CAT II

[45] Standards Mapping - Security Technical Implementation Guide Version 4.7 APSC-DV-003300 CAT II

[46] Standards Mapping - Security Technical Implementation Guide Version 4.8 APSC-DV-003300 CAT II

[47] Standards Mapping - Security Technical Implementation Guide Version 4.9 APSC-DV-003300 CAT II

[48] Standards Mapping - Security Technical Implementation Guide Version 4.10 APSC-DV-003300 CAT II

[49] Standards Mapping - Security Technical Implementation Guide Version 4.11 APSC-DV-003300 CAT II

[50] Standards Mapping - Security Technical Implementation Guide Version 4.1 APSC-DV-003300 CAT II

[51] Standards Mapping - Security Technical Implementation Guide Version 5.1 APSC-DV-003300 CAT II

[52] Standards Mapping - Security Technical Implementation Guide Version 5.2 APSC-DV-003300 CAT II

[53] Standards Mapping - Security Technical Implementation Guide Version 5.3 APSC-DV-003300 CAT II

[54] Standards Mapping - Security Technical Implementation Guide Version 6.1 APSC-DV-003300 CAT II

[55] Standards Mapping - Web Application Security Consortium Version 2.00 Application Misconfiguration (WASC-15)

desc.structural.dotnet.graphql_bad_practices_introspection_enabled

Abstract

GraphQL エンドポイントは、スキーマイントロスペクションを無効にせずに作成されます。

Explanation

GraphQL イントロスペクション機能を使用すると、誰でも GraphQL サーバーに現在のスキーマに関する情報を照会できます。利害関係者は、GraphQL イントロスペクションクエリを発行して、スキーマで使用可能な操作、データ型、フィールド、およびドキュメントの全体像を把握できます。

GraphQL イントロスペクションは、GraphQL API に関する情報の開発と共有のコンテキストで重要なユーティリティを提供します。イントロスペクションは、さまざまなツールとの統合を容易にする強力な GraphQL 機能です。たとえば、IDE はスキーマイントロスペクションを活用して、GraphQL API を開発およびテストするための拡張機能を提供できます。

しかし、本番環境で誰でも GraphQL スキーマを照会できるようにすると、全体的なセキュリティにリスクが生じる可能性があります。攻撃者がイントロスペクションを使用して、GraphQL スキーマから実装の詳細を取得し、より的を絞った攻撃を実行できます。GraphQL スキーマは、内部で使用されるフィールド、説明、非推奨のメモなど、一般の使用を目的としていない可能性のある情報をリークする可能性があります。

例 1: 次のコードでは、スキーマイントロスペクションがデフォルトで有効になっている GraphQL エンドポイントを初期化します。


app.use('/graphql', graphqlHTTP({
    schema
}));