CWE-1285

入力で指定されたインデックス、位置、オフセットの不適切な検証

Improper Validation of Specified Index, Position, or Offset in Input

脆弱性作成中

日本語説明

この製品は、バッファやファイルなどのインデックス可能なリソースへのインデックス、位置、またはオフセットを指定することが期待される入力を受け取りますが、指定されたインデックス/位置/オフセットが必要なプロパティを持つことを検証しないか、誤って検証します。

多くの場合、メモリ・バッファやファイルなどのインデックス可能なリソースは、配列のインデックスやファイルの位置など、特定の位置、インデックス、またはオフセットを使用してアクセスできます。信頼できない入力がインデックスとして使用される前に適切に検証されない場合、攻撃者はこれらのリソースの許可されていない部分にアクセスする（またはアクセスを試みる）可能性があります。これを利用して、バッファ・オーバーフローや過剰なリソース割り当てを引き起こしたり、予期せぬ障害を引き起こしたりする可能性がある。

原文 (English)

The product receives input that is expected to specify an index, position, or offset into an indexable resource such as a buffer or file, but it does not validate or incorrectly validates that the specified index/position/offset has the required properties.

Often, indexable resources such as memory buffers or files can be accessed using a specific position, index, or offset, such as an index for an array or a position for a file. When untrusted input is not properly validated before it is used as an index, attackers could access (or attempt to access) unauthorized portions of these resources. This could be used to cause buffer overflows, excessive resource allocation, or trigger unexpected failures.

関連する脆弱性

想定される影響

Scope: Other / Impact: Varies by Context

対策・緩和策

Assume all input is malicious. Use an "accept known good" input validation strategy, i.e., use a list of acceptable inputs that strictly conform to specifications. Reject any input that does not strictly conform to specifications, or transform it into something that does.

When performing input validation, consider all potentially relevant properties, including length, type of input, the full range of acceptable values, missing or extra inputs, syntax, consistency across related fields, and conformance to business rules. As an example of business rule logic, "boat" may be syntactically valid because it only contains alphanumeric characters, but it is not valid if the input is only expected to contain colors such as "red" or "blue."

Do not rely exclusively on looking for malicious or malformed inputs. This is likely to miss at least one undesirable input, especially if the code's environment changes. This can give attackers enough room to bypass the intended validation. However, denylists can be useful for detecting potential attacks or determining which inputs are so malformed that they should be rejected outright.

外部リンク

MITRE公式ページ — CWE-1285