情報セキュリティ
基本情報技術者試験｜T社のWebアプリは、利用者が指定したファイル名を受け取り、サーバ上の公開フォルダ内の文書を表示する。診断で『フ…
T社のWebアプリは、利用者が指定したファイル名を受け取り、サーバ上の公開フォルダ内の文書を表示する。診断で『ファイル名に親ディレクトリを示す文字列を含めると、公開対象外のシステムファイルが読み取れる』脆弱性が指摘された。アプリ側で講じる対策として、最も適切なものはどれか。
ア表示処理の応答時間を短くし、利用者の待ち時間を改善する。
イ読み取った文書の内容を表示の直前にすべて暗号化して保護する。
ウ文書を開く前にログインを求め、未認証の者を画面から排除する。
エ指定値を直接使わず、許可済み文書を識別子から対応付けて開く。
正解
エ．指定値を直接使わず、許可済み文書を識別子から対応付けて開く。
脆弱性の原因は『利用者指定のファイル名を検証せずファイルアクセスに使う』点にある。指定された文字列を直接パスに用いず、あらかじめ許可した文書を識別子（番号など）から内部で対応付けて開く設計にすれば、親ディレクトリ指定など範囲外への参照が成立せず、ディレクトリトラバーサルによる不正な読み取りを防げる。
?選択肢ごとの解説
ア ×応答時間の短縮は性能改善であり、ファイルパスの不正操作という脆弱性とは無関係で対策にならない。
イ ×表示前の暗号化は内容の機密性に関わる処理で、そもそも範囲外のファイルが読み取られてしまう参照経路を塞がない。
ウ ×ログイン必須化は無認証の悪用を減らすが、認証後の正規利用者や奪取アカウントから範囲外参照が可能なままで根本対策にならない。
エ ○脆弱性の原因は『利用者指定のファイル名を検証せずファイルアクセスに使う』点にある。指定された文字列を直接パスに用いず、あらかじめ許可した文書を識別子（番号など）から内部で対応付けて開く設計にすれば、親ディレクトリ指定など範囲外への参照が成立せず、ディレクトリトラバーサルによる不正な読み取りを防げる。
情報セキュリティの他の問題
U社のWebサービスで、攻撃者が他人のセッションIDを推測または窃取し、ログイン済み利用者になりすます事象が懸念されている。…V社の利用者が正しいドメイン名を入力したにもかかわらず、偽のサイトへ誘導される事象が複数発生した。社内DNSキャッシュサーバ…W社のWebサービスでは、過去にXSSによりセッションCookieが盗まれる被害があった。XSSの修正と並行し、万一スクリプ…X社の問合せフォームに対し、単一の送信元から極めて短い間隔で大量の送信要求が繰り返され、アプリケーションサーバの処理が逼迫し…M社では、人事システムが部署や職位の変更を毎日反映している一方、業務システム側のアクセス権は申請ベースで付与され、変更時に削…N社のサーバ運用では、管理者権限を持つ共用アカウント一つを運用担当数名が日常的に使い回しており、ログには共用アカウント名しか…O社では、各機器のログを個別に保存しているが、量が膨大で人手では追えず、攻撃の兆候を見逃している。先日の侵入では、認証サーバ…P社では、サーバごとに導入ソフトとバージョンを把握できておらず、重大な脆弱性が公表された際、自社のどのサーバが該当し対処が必…
この問題の「深掘り・誤答の完全解説・覚え方」は、登録すると読めます。
基本情報技術者試験は全4,036問。公開しているのはその一部で、登録すると残りも一問ごとにAI解説つきで解けます。SRS暗記カード・全真模試・弱点診断まで。
登録は1分・クレジットカード不要。無料のまま練習・暗記カード・模試まで使えます。
作成・校閲：ukamiru編集部 · 基本情報技術者試験 過去問 · fe-b-sec-0020