令和6年度 秋期 システム監査技術者試験 午前II 問18
テクノロジセキュリティ技術Webアプリケーション・ソフトウェアの脆弱性
オープンリダイレクトを悪用した攻撃に該当するものはどれか。
解答・解説
正解: イ. WebサイトにアクセスするとURL中のパラメータで指定された他のWebサイトに遷移する機能を悪用し，利用者を偽のWebサイトに誘導する。
正解は イ です。
オープンリダイレクト（Open Redirect） とは、Webアプリケーションにおいて、パラメータで指定されたURLへ遷移（リダイレクト）する機能を持つ場合、そのリダイレクト先URLの妥当性検証が不十分であるために生じる脆弱性のことです。この脆弱性を悪用すると、攻撃者はユーザーを正規のWebサイトを経由して、全く別の悪意あるWebサイト（フィッシングサイトなど）へ意図せず誘導させることができます。
各選択肢の解説
- ア：HTMLメールにおけるリンクの偽装を用いたフィッシングの一般的な手口です。Webサイトのリダイレクト機能の悪用ではありません。
- イ：正解です。URL中のパラメータで指定された他のWebサイトに遷移する機能を悪用し、利用者を偽のWebサイトに誘導する攻撃はオープンリダイレクト攻撃に該当します。
- ウ：DNSリフレクション攻撃（DNSアンプ攻撃） の説明です。オープンリゾルバ（不特定多数からDNSリクエストを受け付けるDNSキャッシュサーバ）を悪用し、標的のWebサーバへ大量のレスポンスを送り付けてリソースを枯渇させます。
- エ：オープンプロキシ（またはオープンリレー） を悪用した攻撃の説明です。第三者中継を許可しているプロキシやメールサーバを悪用し、送信元を偽装した迷惑メール（スパムメール）などを送信します。