SC情報処理安全確保支援士試験午後Ⅰ

平成26年度春期情報処理安全確保支援士午後Ⅰ 問1

事例を読んで設問の答えを考えてから、解説のポイントとIPA公式の解答例・採点講評で確認しましょう。

問題

ソフトウェア開発での脆ぜい弱性対策では，特にプログラム作成プロセスにおいて，不用意なコーディングによって脆弱性を作り込んでしまう可能性が高く，細心の注意が必要である。そのため，脆弱性の作り込みを予防したり，脆弱性を発見したりするためには，ツールによる対処に加えて，プログラム作成者及びレビュアのセキュアプログラミングに関する知識と能力が重要なポイントとなっている。本問では，Webアプリケーションでのファイルアップロードを題材に，脆弱性についての知識及びソースコードレビュー（静的解析）によって脆弱性を発見する能力を問う。

解き方のヒントを見る

問01：アップロード処理の“入口チェック”と“サイズ計算の落とし穴”を見抜こう

ファイルアップロードは、Refererチェックや「スクリプトを無効にする」だけに頼ると危ないよ。たとえるなら、店の入口で名札だけ見て安心するのではなく、荷物の中身やサイズもちゃんと確認する感じだね。Webアプリ側で拡張子をきちんと判定し、画像サイズの計算で整数オーバフローが起きて、その結果バッファオーバフローにつながらないかを静的解析などで確認することが大事だよ。

この問題で問われていること

ソースコードレビューで、1つの小さな不具合が別の脆弱性につながる流れを追えるかがポイントだよ。

Secure File Upload Review

secure file upload handling requires server-side extension checks and prevention of integer-overflow-to-buffer-overflow chains found by source review

server-side extension check\ninteger overflow risk\nbuffer overflow chain\nreview source code statically

確認ポイント

拡張子判定はサーバ側で行う。
整数オーバフローからの連鎖を疑う。
静的解析で計算式を追う。

正解と解説を見る

解説

公式過去問です。問題冊子と解答例を参照して確認してください。

公式問題冊子

問題冊子: https://www.ipa.go.jp/shiken/mondai-kaiotu/ug65p90000001dzu-att/2014h26h_sc_pm1_qs.pdf

公式解答例

解答例: https://www.ipa.go.jp/shiken/mondai-kaiotu/ug65p90000001dzu-att/2014h26h_sc_pm1_ans.pdf

採点講評

採点講評: https://www.ipa.go.jp/shiken/mondai-kaiotu/ug65p90000001dzu-att/2014h26h_sc_pm1_cmnt.pdf

学習のポイント

公式問題冊子、解答例、採点講評を併読して要点を整理してください。

出典：独立行政法人情報処理推進機構（IPA）平成26年度春期情報処理安全確保支援士試験午後Ⅰ 問1（公式資料：問題冊子（PDF）／解答例／採点講評）

平成26年度春期 情報処理安全確保支援士 午後Ⅰ 問1

問題