Setting Manipulation

システム設定の外部制御を許可すると、サービスの妨害や、想定外の動作がアプリケーションで発生する原因となることがあります。

攻撃者がシステムの動作を決定する値を制御できるか、特定のリソースを管理できるか、または何らかの方法でアプリケーションの機能に影響を与えることができる場合、Setting Manipulation の脆弱性が発生します。



Setting Manipulation はさまざまな関数を対象としているため、どのような方法で説明しようとしても不完全になります。Setting Manipulation カテゴリに対処する関数間に緊密な関係を見つけようとするよりも、攻撃者に制御を許してはならないシステム値の種類を検討してください。

例 1: 次の PHP コード スニペットは、HTTP リクエストからパラメーターを読み取り、サービス データベース接続として設定します。

...
taintedConnectionStr = request->get_form_field( 'dbconn_name' ).
TRY.
    DATA(con) = cl_sql_connection=>get_connection( `R/3*` && taintedConnectionStr ).
    ...
    con->close( ).
  CATCH cx_sql_exception INTO FINAL(exc).
    ...
ENDTRY.

この例では、攻撃者は ABAP DBCON テーブルで存在しないデータベース接続を指定するか、データベースの不正な部分に接続することでエラーを発生させます。

一般的に、ユーザー入力などの信頼できないデータを使用して機密データを管理できないようにします。攻撃者がこれらの値を制御することによって手に入れる能力は、いつでも議論の余地なく明白であるというわけではありませんが、攻撃者の創造力を過小評価してはいけません。

システム設定の外部制御を許可すると、サービスの妨害や、想定外の動作がアプリケーションで発生する原因となることがあります。

攻撃者がシステムの動作を決定する値を制御できるか、特定のリソースを管理できるか、または何らかの方法でアプリケーションの機能に影響を与えることができる場合、Setting Manipulation の脆弱性が発生します。

Setting Manipulation はさまざまな関数を対象としているため、どのような方法で説明しようとしても不完全になります。Setting Manipulation カテゴリに対処する関数間に緊密な関係を見つけようとするよりも、攻撃者に制御を許すべきではないシステム値の種類を検討してください。

システム設定の外部制御を許可すると、サービスの妨害や、想定外の動作がアプリケーションで発生する原因となることがあります。

攻撃者がシステムの動作を決定する値を制御できるか、特定のリソースを管理できるか、または何らかの方法でアプリケーションの機能に影響を与えることができる場合、Setting Manipulation の脆弱性が発生します。

Setting Manipulation はさまざまな関数を対象としているため、どのような方法で説明しようとしても不完全になります。Setting Manipulation カテゴリに対処する関数間に緊密な関係を見つけようとするよりも、攻撃者に制御を許すべきではないシステム値の種類を検討してください。

例 1: 次の C 言語のコード例では、コマンドラインのパラメーターの 1 つとして数字を受け取り、使用中マシンのホスト ID に代入しています。

...
sethostid(argv[1]);
...

sethostid() を適切に呼び出すためにはプロセスを権限付きで実行することが必要ですが、権限を所有しないユーザーがこのプログラムを呼び出すことが可能な場合もあります。このコード例では、入力により直接システム設定値を制御することをユーザーに許可しています。攻撃者がホスト ID に悪意のある値を代入すると、ネットワーク上で影響を受けたマシンの識別が不能になる、または意図しない動作を引き起こす原因となります。

一般的に、ユーザー入力などの信頼できないデータを使用して機密データを管理できないようにします。攻撃者がこれらの値を制御することによって手に入れる能力は、いつでも議論の余地なく明白であるというわけではありませんが、攻撃者の創造力を過小評価してはいけません。

システム設定の外部制御を許可すると、サービスの妨害や、想定外の動作がアプリケーションで発生する原因となることがあります。

攻撃者がシステムの動作を決定する値を制御できるか、特定のリソースを管理できるか、または何らかの方法でアプリケーションの機能に影響を与えることができる場合、Setting Manipulation の脆弱性が発生します。



Setting Manipulation はさまざまな関数を対象としているため、どのような方法で説明しようとしても不完全になります。Setting Manipulation カテゴリに対処する関数間に緊密な関係を見つけようとするよりも、攻撃者に制御を許すべきではないシステム値の種類を検討してください。

例 1: 次の COBOL コード部分は、ターミナルから値を読み取って、キュー オブジェクトへのアクセスを確立するために使用されるオプションの計算にその値を使用しています。

...
ACCEPT OPT1.
ACCEPT OPT2
COMPUTE OPTS = OPT1 + OPT2.
CALL 'MQOPEN' USING HCONN, OBJECTDESC, OPTS, HOBJ, COMPOCODE REASON.
... 

この例では、攻撃者はキューに排他的にアクセスするのではなく、キューの共有を許可するようにオプションを指定することが可能です。

一般的に、ユーザー入力などの信頼できないデータを使用して機密データを管理できないようにします。攻撃者がこれらの値を制御することによって手に入れる能力は、いつでも議論の余地なく明白であるというわけではありませんが、攻撃者の創造力を過小評価してはいけません。

システム設定の外部制御を許可すると、サービスの妨害や、想定外の動作がアプリケーションで発生する原因となることがあります。

攻撃者がシステムの動作を決定する値を制御できるか、特定のリソースを管理できるか、または何らかの方法でアプリケーションの機能に影響を与えることができる場合、Setting Manipulation の脆弱性が発生します。

Setting Manipulation はさまざまな関数を対象としているため、どのような方法で説明しようとしても不完全になります。Setting Manipulation カテゴリに対処する関数間に緊密な関係を見つけようとするよりも、攻撃者に制御を許すべきではないシステム値の種類を検討してください。

例 1: 次のコードは Web フォームから数値を読み取り、読み取った値を使用して初期化ファイルのタイムアウト値を設定します。

...
<cfset code = SetProfileString(IniPath, 
              Section, "timeout", Form.newTimeout)>
...

Form.newTimeout の値は、タイムアウトの指定に使用されます。そのため、攻撃者は非常に大きい数値を指定することで、アプリケーションに対して Denial of Service (DoS) 攻撃を仕掛けることが可能となる場合があります。

一般的に、ユーザー入力などの信頼できないデータを使用して機密データを管理できないようにします。攻撃者がこれらの値を制御することによって手に入れる能力は、いつでも議論の余地なく明白であるというわけではありませんが、攻撃者の創造力を過小評価してはいけません。

システム設定の外部制御を許可すると、サービスの妨害や、想定外の動作がアプリケーションで発生する原因となることがあります。

攻撃者がシステムの動作を決定する値を制御できるか、特定のリソースを管理できるか、または何らかの方法でアプリケーションの機能に影響を与えることができる場合、Setting Manipulation の脆弱性が発生します。



Setting Manipulation はさまざまな関数を対象としているため、どのような方法で説明しようとしても不完全になります。Setting Manipulation カテゴリに対処する関数間に緊密な関係を見つけようとするよりも、攻撃者に制御を許すべきではないシステム値の種類を検討してください。

例 1: 次のコード スニペットでは、ユーザー制御のデータによって環境変数を設定します。

...
catalog := request.Form.Get("catalog")
path := request.Form.Get("path")
os.Setenv(catalog, path)
...

この例では、攻撃者が任意の環境変数を設定して、他のアプリケーションの動作に影響を及ぼす可能性があります。

一般的に、ユーザー入力などの信頼できないデータを使用して機密データを管理できないようにします。攻撃者がこれらの値を制御することによって手に入れる能力は、いつでも明白であるというわけではありませんが、攻撃者の創造力を過小評価してはいけません。

システム設定の外部制御を許可すると、サービスの妨害や、想定外の動作がアプリケーションで発生する原因となることがあります。

攻撃者がシステムの動作を決定する値を制御できるか、特定のリソースを管理できるか、または何らかの方法でアプリケーションの機能に影響を与えることができる場合、Setting Manipulation の脆弱性が発生します。



Setting Manipulation はさまざまな関数を対象としているため、どのような方法で説明しようとしても不完全になります。Setting Manipulation カテゴリに対処する関数間に緊密な関係を見つけようとするよりも、攻撃者に制御を許すべきではないシステム値の種類を検討してください。

例 1: 次の Node.js コード スニペットは、http.IncomingMessage 要求変数から文字列を読み取り、追加の V8 コマンド行フラグを設定するためにそれを使用します。

var v8 = require('v8');
...
var flags = url.parse(request.url, true)['query']['flags'];
...
v8.setFlagsFromString(flags);
...

この例では、攻撃者は VM にさまざまなフラグを設定できるようになり、プログラムのクラッシュ、潜在的なデータ損失を含む予測不能な動作が引き起こされる可能性があります。

一般的に、ユーザー入力などの信頼できないデータを使用して機密データを管理できないようにします。攻撃者がこれらの値を制御することによって手に入れる能力は、いつでも議論の余地なく明白であるというわけではありませんが、攻撃者の創造力を過小評価してはいけません。

システム設定の外部制御を許可すると、サービスの妨害や、想定外の動作がアプリケーションで発生する原因となることがあります。

攻撃者がシステムの動作を決定する値を制御できるか、特定のリソースを管理できるか、または何らかの方法でアプリケーションの機能に影響を与えることができる場合、Setting Manipulation の脆弱性が発生します。



Setting Manipulation はさまざまな関数を対象としているため、どのような方法で説明しようとしても不完全になります。Setting Manipulation カテゴリに対処する関数間に緊密な関係を見つけようとするよりも、攻撃者に制御を許すべきではないシステム値の種類を検討してください。

例 1: 次の PHP コード スニペットは、 HTTP リクエストからパラメーターを読み取り、データベース接続のアクティブなカタログとして設定します。

<?php
    ...
    $table_name=$_GET['catalog'];
    $retrieved_array = pg_copy_to($db_connection, $table_name);
    ...
?>

この例では、攻撃者は存在しないカタログ名を提供するか、データベースの不正な部分に接続することでエラーを発生させます。

一般的に、ユーザー入力などの信頼できないデータを使用して機密データを管理できないようにします。攻撃者がこれらの値を制御することによって手に入れる能力は、いつでも議論の余地なく明白であるというわけではありませんが、攻撃者の創造力を過小評価してはいけません。

システム設定の外部制御を許可すると、サービスの妨害や、想定外の動作がアプリケーションで発生する原因となることがあります。

攻撃者がシステムの動作を決定する値を制御できるか、特定のリソースを管理できるか、または何らかの方法でアプリケーションの機能に影響を与えることができる場合、Setting Manipulation の脆弱性が発生します。



Setting Manipulation はさまざまな関数を対象としているため、どのような方法で説明しようとしても不完全になります。Setting Manipulation カテゴリに対処する関数間に緊密な関係を見つけようとするよりも、攻撃者に制御を許すべきではないシステム値の種類を検討してください。

例 1: 次のコード スニペットは、ユーザー制御のデータを使用して、環境変数を設定します。

...
catalog = request.GET['catalog']
path = request.GET['path']
os.putenv(catalog, path)
...

この例では、攻撃者が任意の環境変数を設定して、他のアプリケーションの動作に影響を及ぼす可能性があります。

一般的に、ユーザー入力などの信頼できないデータを使用して機密データを管理できないようにします。攻撃者がこれらの値を制御することによって手に入れる能力は、いつでも議論の余地なく明白であるというわけではありませんが、攻撃者の創造力を過小評価してはいけません。

システム設定の外部制御を許可すると、サービスの妨害や、想定外の動作がアプリケーションで発生する原因となることがあります。

攻撃者がシステムの動作を決定する値を制御できるか、特定のリソースを管理できるか、または何らかの方法でアプリケーションの機能に影響を与えることができる場合、Setting Manipulation の脆弱性が発生します。



Setting Manipulation はさまざまな関数を対象としているため、どのような方法で説明しようとしても不完全になります。Setting Manipulation カテゴリに対処する関数間に緊密な関係を見つけようとするよりも、攻撃者に制御を許すべきではないシステム値の種類を検討してください。

例 1: 次の Scala コード スニペットは、HTTP リクエストから文字列を読み取り、データベース Connection のアクティブなカタログとして設定します。

def connect(catalog: String) = Action { request =>
    ...
    conn.setCatalog(catalog)
    ...
}

この例では、攻撃者は存在しないカタログ名を提供するか、データベースの不正な部分に接続することでエラーを発生させます。

一般的に、ユーザー入力などの信頼できないデータを使用して機密データを管理できないようにします。攻撃者がこれらの値を制御することによって手に入れる能力は、いつでも議論の余地なく明白であるというわけではありませんが、攻撃者の創造力を過小評価してはいけません。

システム設定の外部制御を許可すると、サービスの妨害や、想定外の動作がアプリケーションで発生する原因となることがあります。

攻撃者がシステムの動作を決定する値を制御できるか、特定のリソースを管理できるか、または何らかの方法でアプリケーションの機能に影響を与えることができる場合、Setting Manipulation の脆弱性が発生します。

Setting Manipulation はさまざまな関数を対象としているため、どのような方法で説明しようとしても不完全になります。Setting Manipulation カテゴリに対処する関数間に緊密な関係を見つけようとするよりも、攻撃者に制御を許すべきではないシステム値の種類を検討してください。

例 1: 次のコードは SQL ログ ハンドラを設定し、ユーザーが制御できる値を使用します。

...
sqlite3(SQLITE_CONFIG_LOG, user_controllable);
...

一般的に、ユーザー入力などの信頼できないデータを使用して機密データを管理できないようにします。攻撃者がこれらの値を制御することによって手に入れる能力は、いつでも議論の余地なく明白であるというわけではありませんが、攻撃者の創造力を過小評価してはいけません。

システム設定の外部制御を許可すると、サービスの妨害や、想定外の動作がアプリケーションで発生する原因となることがあります。

攻撃者がシステムの動作を決定する値を制御できるか、特定のリソースを管理できるか、または何らかの方法でアプリケーションの機能に影響を与えることができる場合、Setting Manipulation の脆弱性が発生します。



Setting Manipulation はさまざまな関数を対象としているため、どのような方法で説明しようとしても不完全になります。Setting Manipulation カテゴリに対処する関数間に緊密な関係を見つけようとするよりも、攻撃者に制御を許すべきではないシステム値の種類を検討してください。

例 1: 次の VB コード の部分は Request オブジェクトから文字列を読み取り、データベース Connection のアクティブなカタログに設定します。

...
Dim conn As ADODB.Connection
Set conn = New ADODB.Connection
Dim rsTables As ADODB.Recordset
Dim Catalog As New ADOX.Catalog
Set Catalog.ActiveConnection = conn
Catalog.Create Request.Form("catalog")
...

この例では、攻撃者は存在しないカタログ名を提供するか、データベースの不正な部分に接続することでエラーを発生させます。

一般的に、ユーザー入力などの信頼できないデータを使用して機密データを管理できないようにします。攻撃者がこれらの値を制御することによって手に入れる能力は、いつでも議論の余地なく明白であるというわけではありませんが、攻撃者の創造力を過小評価してはいけません。