問題 No.5675
Webアプリケーションやネットワーク上の機器などにおいて、入力値の検証不備などを突いて、攻撃者が任意のOSコマンドを標的のシステム上で直接実行できてしまうセキュリティ上の脆弱性を指す用語はどれか。
【正解の解説】
RCE
これは、お店の受付係に「店の金庫を開けろ」と書いたメモを渡したら、受付係が言われるがまま金庫を開けてしまうような危険な状態です。プログラムがユーザーからの入力を信用しすぎて、裏側でOSの命令としてそのまま実行してしまうことで発生し、システムが乗っ取られる最悪の事態を招きます。
スポンサーリンク
【その他の選択肢の解説】
CSRF
これは、ユーザーになりすまして掲示板に勝手に書き込みをさせたり、ショッピングサイトで商品を勝手に購入させたりする攻撃です。システムを直接破壊するRCEとは異なり、ログイン中のユーザーのブラウザの権限を悪用して不正な操作を行わせる点が決定的な違いです。
XSS
これは、掲示板などに「罠のプログラム」を書き込み、それを見た他のユーザーの個人情報を盗み出す攻撃です。サーバー側のOSを直接操作するRCEとは違い、被害を受けるのはサーバーではなくWebサイトを閲覧しているユーザー側であるという点が大きな違いです。
SSRF
これは、外部から直接アクセスできない社内システムに対して、外部と通信できるWebサーバーを踏み台にして攻撃を仕掛ける手法です。外部から直接OSコマンドを叩くRCEとは異なり、サーバーの通信機能を悪用して内部ネットワークを覗き見ることが主な目的となります。