2022/04/15 OWASP Nagoya Chapter ミーティング 第25回 A01:2021 – アクセス制御の不備

1. 2022.4.15
OWASP Nagoya
Hitomi Kato
OWASP TOP10
A01:2021 – アクセス制御の不備
OWASP Nagoya Chapter Meetinng #25

2. 自己紹介
加藤 人生（かとう ひとみ）
・Mail hitomi.kato@owasp.org
・Facebook https://www.facebook.com/htmkatou
・Twitter https://twitter.com/wagtail_jp
ある会社の脆弱性診断サービスを提供する部門にて脆弱性診断の仕事をしています。
（主にプラットフォーム診断とツールを使ったWebアプリケーション診断をしています。）
念のため：今回の発表の内容はあくまでも個人の見解であり、私が所属する企業の見解ではあ
りません。あと、 FacebookとTwitterは、技術的な投稿より「推しごと」の投稿が多いです。

3. アジェンダ
１．A01:2021 – アクセス制御の不備について
２．アクセス制御の不備と認証制御・認可制御の不備
３．まとめ

4. 1. A01:2021 – アクセス制御の不備について
「A01:2021 – アクセス制御の不備」は、OWASP Top 10:2021にて１位の
順位のものとして紹介されているものとなります。
概要に「アクセス制御の不備は、5位から順位を上げました。」とあ
ります。前回の2017版の頃より影響範囲が拡大したと思われます。
「94%のアプリケーションで、何らかの形でアクセス制御の不備が確
認されています。」とありますので、注意すべき内容と考えられます。

5. 「注目すべきCWE 」として次のものが紹介されています。
CWE-200 認証されていない動作主体への情報露出
CWE-201 送信データを通じた情報露出
CWE-352 クロスサイトリクエストフォージェリ
1. A01:2021 – アクセス制御の不備について
「クロスサイトリクエストフォージェリ」は、ログインした利用者の
権限を利用して、外部サイトを経由した悪意のあるリクエストにて、
利用者が予期しない処理を実行させられてしまう攻撃のため、A01に
含まれていると考えられます。

6. 1. A01:2021 – アクセス制御の不備について
「アクセス制御」と「その不備」については、説明に次の記載があり
ます。
• アクセス制御は、ユーザに対して予め与えられた権限から外れた
行動をしないようにポリシーを適用するものです。
• ポリシー適用の失敗により、許可されていない情報の公開、すべ
てのデータの変更または破壊、またはユーザ制限から外れたビジ
ネス機能の実行が引き起こされます。

7. 「アクセス制御の脆弱性」として次のものが紹介されています。
１ URL、内部のアプリケーションの状態、HTMLページを変更することやカスタムAPI攻
撃ツールを単純に使用することによって、アクセス制御のチェックを迂回できてしまう。
２ 主キーを他のユーザのレコードに変更することができ、他のユーザのアカウントを表示
または編集できてしまう。
1. A01:2021 – アクセス制御の不備について

8. 「アクセス制御の脆弱性」として次のものが紹介されています。
３ 権限昇格。ログインすることなしにユーザとして行動したり、一般ユーザとしてログイ
ンした時に管理者として行動できてしまう。
４ メタデータの操作。JSON Web Token（JWT）アクセス制御トークンや権限昇格する
ために操作されるCookieやhiddenフィールドを再生成または改ざんできたり、JWTの
無効化を悪用できるなど。
1. A01:2021 – アクセス制御の不備について
※ JSON Web Token（JWT）アクセス制御トークン
https://ja.wikipedia.org/wiki/JSON_Web_Token

9. 「アクセス制御の脆弱性」として紹介されているものの続き。
５ CORSの誤設定によって権限のないAPIアクセスが許可されてしまう。
６ 認証されていないユーザを要認証ページへ、一般ユーザを要権限ページへ強制ブラウズ
できてしまう。POST、PUT、DELETEメソッドへのアクセス制御がないAPIへアクセ
スができてしまう。
1. A01:2021 – アクセス制御の不備について
※オリジン間リソース共有（CORS）
https://developer.mozilla.org/ja/docs/Web/HTTP/CORS

10. 「攻撃シナリオの例」として次のものが紹介されています。
シナリオ #1 アプリケーションが、アカウント情報にアクセスするSQL呼出しに未検証のデ
ータを使用しています。
pstmt.setString(1, request.getParameter("acct"));
ResultSet results = pstmt.executeQuery( );
攻撃者は、単にブラウザでパラメータ'acct'を任意のアカウント番号に改変して
送信します。適切な検証がない場合、攻撃者は任意のアカウントにアクセスで
きます。
https://example.com/app/accountInfo?acct=notmyacct
1. A01:2021 – アクセス制御の不備について

11. 「攻撃シナリオの例」として次のものが紹介されています。
シナリオ #2 ある攻撃者は、ブラウザでURLを指定してアクセスします。管理者ページにア
クセスするには管理者権限が必要です。
https://example.com/app/getappInfo
https://example.com/app/admin_getappInfo
認証されていないユーザがこれらのページにアクセスすることができるなら、
欠陥があります。
管理者でない人が管理者のページにアクセスできるなら、それも欠陥です。
1. A01:2021 – アクセス制御の不備について
書き換えてアクセスする。

12. 1. A01:2021 – アクセス制御の不備について
「防止方法」については、説明に次の記載があります。
• 攻撃者がアクセス制御のチェックやメタデータを変更することが
できず、信頼できるサーバーサイドのコードまたはサーバーレス
APIで実施される場合によってのみ、アクセス制御が機能するよう
にします。
攻撃者にアクセス制御のロジックを推測させたり、値を変更可能な作
りにしないことが大切。

13. 「防止方法」として次のものが紹介されています。
１ 公開リソースへのアクセスを除いて、アクセスを原則として拒否する。
２ CORSの使用箇所を最小限に抑えるなど、アクセス制御メカニズムを一か所で実装しア
プリケーション全体でそれを再利用する
1. A01:2021 – アクセス制御の不備について

14. 「防止方法」として次のものが紹介されています。
３ アクセス制御モデルは、ユーザがどのようなレコードでも作成、読取、更新、または削
除できるようにするのではなく、レコードの所有権があることを前提としなければなら
ない。
４ アプリケーション独自のビジネス上の制約要求はドメインモデルによって表現される必
要がある。
1. A01:2021 – アクセス制御の不備について

15. 「防止方法」として紹介されているものの続き。
５ Webサーバーのディレクトリリスティングを無効にし、ファイルのメタデータ（.gitな
ど）やバックアップファイルがWebの経路上に存在しないことを確認する。
６ アクセス制御の失敗をログに記録し、必要に応じて管理者に警告する（繰り返し失敗し
ているなど）。
1. A01:2021 – アクセス制御の不備について

16. 「防止方法」として紹介されているものの続き。
５ レート制限するAPIとコントローラは自動攻撃ツールによる被害を最小限に抑えるため
の手段である。
６ JWTトークンはログアウト後にはサーバー上で無効とされるべきである。
1. A01:2021 – アクセス制御の不備について

17. 2.アクセス制御の不備と認証制御・認可制御の不備
「A01:2021 – アクセス制御の不備」について考えてきましたが、内容
としては、権限による制御だけでなく、そもそも認証制御がなされて
いない対象にも言及する内容になっていると思われます。
「認可制御の不備」「認証制御の不備」という視点で考えるとどちら
に該当するのかが分かりにくい側面があります。
「A07:2021 – 識別と認証の失敗」が認証制御に関わる部分となるため、
認証制御の欠落がどちらに含まれるかを意識しておく必要があります。

18. （参考）某診断会社の診断項目の概要には下記の説明があります。
不適切な認証制御 認証前に認証後のページにアクセスできないかを検査。
不適切な認可制御 本来アクセスできない他の利用者のデータにアクセスできないかを
検査。
2.アクセス制御の不備と認証制御・認可制御の不備
認証前の不備なのか認証後の不備なのかで、指摘項目が分かれています。

19. 3.まとめ
• 「A01:2021 – アクセス制御の不備」については、 OWASP Top
10:2021において、 1位という順位に位置付けらせているものです。
• 攻撃シナリオの通り、パラメータを本来アクセス出来ない対象のID
に変更、またはアクセス出来ない対象のURLに強制的にアクセスす
るといったことで見つかるものとなります。
• 対策としては、攻撃者からアクセス制御に関わる内容が推測可能
な状況にせず、値の変更をさせない、または信頼できる値である
かのチェックを行うといった工夫が必要となります。

20. 3.まとめ
参考資料
• OWASP Proactive Controls: Enforce Access Controls
• OWASP Application Security Verification Standard: V4 Access Control
• OWASP Testing Guide: Authorization Testing
• OWASP Cheat Sheet: Access Control
• PortSwigger: Exploiting CORS misconfiguration
• OAuth: Revoking Access