Google API OAuth 認証情報が検出されました

high Web App Scanning プラグイン ID 113124

Language:

概要

説明

Google API は、さまざまな導入シナリオの認証と承認向けの OAuth 2.0 プロトコルをサポートしています。一部のシナリオでは、クライアントアプリケーションは Google API にアクセスするために、クライアント ID やクライアントシークレットなどの認証情報を使用して Google 承認サーバーに自身を認証し、有効なアクセストークンを取得する必要があります。

Web サーバーアプリケーションのコンテキストでは、トークンの取得に使用される OAuth 2.0 シークレットは機密であり、クライアント ID で漏洩した場合、攻撃者が脆弱なアプリケーションになりすまして、Google API に対して任意のリクエストを実行する可能性があります。

ソリューション

クライアント ID とシークレットを保存しているファイルを削除するか、少なくとも適切な権限を設定して、そのコンテンツが暗号化されていることを確認し、OAuth 2.0 クライアント ID とシークレットが漏洩しないようにします。OAuth 2.0 認証情報が漏洩していることが判明した場合、開発者は Google 開発者コンソールを介して認証情報をリセットし、認証されていないアクターによる再利用を回避する必要があります。