応用情報技術者ブラウザ・セッションとAPIの防御オリジナル・公式資料照合難易度★★★★☆
画像取得APIが利用者指定のURLへサーバーからアクセスする。最初のURLのホスト名だけを許可リストで検査するが、HTTPリダイレクトは無制限に追跡する。許可ホストの転送先が内部IPとなる経路が見つかった。SSRF対策として適切なのはどれか。
A
最初のホスト名が許可済みなら、以降の転送先や接続IPは無条件に信頼する
初回の許可判定は転送先に引き継げません。内部IPへの転送を許すと初回URLの検査を迂回できます。
B
取得した画像の拡張子だけを確認し、サーバーの送信先制限は設けない
拡張子はネットワークの送信先を保証しません。内部APIを呼ばせる経路を防ぐ対策になりません。
C
HTTPSのURLなら内部管理APIやメタデータへのアクセスもすべて許可する
HTTPSは通信経路を保護しますが、サーバーがその送信先へ接続してよいかという認可は別です。
D
不要なリダイレクトを無効にするか各遷移先も検査し、実際の接続先IPとDNS変化・IPv6等を考慮する。送信経路でも不要な内部到達を制限する★ 正解
URL・名前解決・実接続・転送を含む境界で検証し、ネットワーク側の送信制限も組み合わせます。
解説
許可した文字列と実際にアクセスする宛先を一致させる必要があります。リダイレクトやDNSの再解決で検査後に宛先が変わる場合を扱い、単純なプライベートIPv4判定だけに依存しません。
根拠資料・確認情報
対応範囲：2026年度 応用情報技術者試験
資料確認日：2026-10-28
同じレッスンの問題
問題 1
利用者のブラウザはexample.comを一度も訪れたことがなく、同ドメインや親ドメインのHSTS情報を持たず、preload登録もない。ブラウザ独自のHTTPS優先機能は無効で、利用者はhttp://example.comを開く。サーバーはHTTPSへ転送し、HTTPS応答にHSTSを付ける。初回接続について正しいのはどれか。
問題 2
サーバー生成HTMLで、必要なインラインscriptだけをnonce型CSPで許可したい。攻撃者は以前の応答HTMLを閲覧でき、一部の文字列注入も試みる。アプリが全応答で同じ公開済みnonceを使っている。適切な改善はどれか。
問題 3
ログインCookieにSameSite=Laxを明示したサイトが、GET /account/deleteでアカウントを削除している。ログイン中の利用者が、別サイトのリンクからこのURLへトップレベルで移動できる。サーバーに追加のCSRF検証はない。適切な評価と修正はどれか。
問題 4
端末ごとに異なるsidを含む署名付きアクセストークンと更新トークンを発行するAPIがある。端末Aのログアウト後は、盗まれたAの未期限切れトークンによる以後の認証も拒否し、端末Bのログインは維持したい。現在は署名と有効期限だけを検証している。最も適切な設計はどれか。