コンテンツインジェクション

medium Web App Scanning プラグイン ID 113212

概要

コンテンツインジェクション

説明

コンテンツインジェクションは、任意の文字を Web ページに挿入する攻撃です。アプリケーションがユーザー指定のデータを適切に処理しない場合、攻撃者は通常、ページに反映されるパラメーター値を使用して Web アプリケーションにコンテンツを提供できます。この攻撃は通常、ユーザーの識別子を盗むために偽の認証テストパターンなどでターゲットページを完全に変更する URL を送信し、ソーシャルエンジニアリングとして、またはソーシャルエンジニアリングと組み合わせて使用されます。場合によっては、この攻撃によって直接または間接的にクロスサイトスクリプティングやクライアント側の JSON インジェクションが引き起こされる可能性もあります。

ソリューション

コンテンツインジェクションの脆弱性を修正するには、HTML ページのコード内で信頼できないデータやフィルタリングされていないデータを使用しないことが重要です。
信頼できないデータは、クライアントから発信されるだけでなく、サードパーティや以前にアップロードされたファイルなどから発信される場合があります。
信頼できないデータのフィルタリングには、通常、特殊な文字を HTML エンティティでエンコードされた対応物に変換することが含まれます (ただし、他の方法も存在します。参考文献を参照してください)。これらの特殊文字は次のとおりです。
* `&` * `<` * `>` * `'` * `'` * `/`
HTML エンティティエンコーディングの例は、「<」を「<」に変換することです。
信頼できない入力をフィルタリングすることは可能ですが、信頼できない入力 (たとえフィルタリングされていたとしても) を決して配置すべきでない場所が、HTML ページ内に 5 つあります。
1. スクリプトに直接。2. HTML コメントの中。3. 属性名の中。4. タグ名の中。5. CSS に直接。
これらの場所にはそれぞれ、エスケープおよびフィルタリングの独自の形式があります。

参考資料

http://projects.webappsec.org/w/page/13246917/Content%20Spoofing

https://owasp.org/www-community/attacks/Content_Spoofing

プラグインの詳細

深刻度: Medium

ID: 113212

タイプ: remote

ファミリー: Injection

公開日: 2022/3/31

更新日: 2024/1/19

スキャン テンプレート: api, full, pci, scan

リスク情報

VPR

リスクファクター: Low

スコア: 3.5

CVSS v2

リスクファクター: Low

基本値: 3.5

ベクトル: CVSS2#AV:N/AC:M/Au:S/C:N/I:P/A:N

CVSS スコアのソース: Tenable

CVSS v3

リスクファクター: Medium

基本値: 4.8

ベクトル: CVSS:3.0/AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N

CVSS スコアのソース: Tenable

参照情報

CWE: 74

OWASP: 2010-A1, 2013-A1, 2017-A1, 2021-A3

WASC: Improper Input Handling

CAPEC: 10, 101, 108, 120, 13, 135, 14, 24, 250, 267, 273, 28, 3, 34, 42, 43, 45, 46, 47, 51, 52, 53, 6, 64, 67, 7, 71, 72, 76, 78, 79, 8, 80, 83, 84, 9

DISA STIG: APSC-DV-002560

HIPAA: 164.306(a)(1), 164.306(a)(2)

ISO: 27001-A.14.2.5

NIST: sp800_53-SI-10

OWASP API: 2019-API8

OWASP ASVS: 4.0.2-5.2.5

PCI-DSS: 3.2-6.5.1