目次

以下のルールで色分けしています

「根本的解決」：黄色
「保険的対策」：白

SQLインジェクション

※1：このチェック項目の「対応済」のチェックは、実施項目のいずれかを実施した場合にチェックします。

対策の性質 チェック 実施項目 補足 解説
根本的解決 ※1
■ 対応済
□ 未対策
□ 対応不要 ■ SQL文の組み立ては全てプレースホルダで実装する。 1-(i)-a
根本的解決 ※1
■ 対応済
□ 未対策
□ 対応不要 ■ SQL文の構成を文字列連結により行う場合は、アプリケーションの変数をSQL文のリテラルとして正しく構成する。 1-(i)-b
根本的解決 ■ 対応済
□ 未対策
□ 対応不要 ウェブアプリケーションに渡されるパラメータにSQL文を直接指定しない。 1-(ii)
保険的対策 ■ 対応済
□ 未対策
□ 対応不要 エラーメッセージをそのままブラウザに表示しない。 1-(iii)
保険的対策 ■ 対応済
□ 未対策
□ 対応不要 データベースアカウントに適切な権限を与える。 1-(iv)

OSコマンド・インジェクション

対策の性質 チェック 実施項目 補足 解説
根本的解決 □ 対応済
□ 未対策
■ 対応不要 □ シェルを起動できる言語機能の利用を避ける。 PHPを利用しているため、根本的解決は対応できていないが、保険的対策を実施しているため、対応不要と考えております。 2-(i)
保険的対策 ■ 対応済
□ 未対策
□ 対応不要 □ シェルを起動できる言語機能を利用する場合は、その引数を構成する全ての変数に対してチェックを行い、あらかじめ許可した処理のみを実行する。 2-(ii)

パス名パラメータの未チェック／ディレクトリ・トラバーサル

※2：このチェック項目の「対応済」のチェックは、実施項目のいずれかを実施した場合にチェックします。

対策の性質 チェック 実施項目 補足 解説
根本的解決 ※2
■ 対応済
□ 未対策
□ 対応不要 ■ 外部からのパラメータでウェブサーバ内のファイル名を直接指定する実装を避ける。 3-(i)-a
根本的解決 ※2
■ 対応済
□ 未対策
□ 対応不要 ■ ファイルを開く際は、固定のディレクトリを指定し、かつファイル名にディレクトリ名が含まれないようにする。 3-(i)-b
保険的対策 ■ 対応済
□ 未対策
□ 対応不要 ウェブサーバ内のファイルへのアクセス権限の設定を正しく管理する。 3-(ii)
保険的対策 ■ 対応済
□ 未対策
□ 対応不要 ファイル名のチェックを行う。 3-(iii)

セッション管理の不備