IT用語
ログインなどの認証の仕組みの不備を突き、パスワードを知らなくても認証を通り抜けてしまう脆弱性、またはその攻撃。
- 別名・略称
- 認証バイパス
認証回避（認証バイパス）は、ログインなどの 認証 の仕組みの不備を突いて、正しいパスワードや鍵を知らなくても認証を通り抜けてしまう 脆弱性、またはその攻撃です。管理画面や API に認証なしでアクセスできてしまうため、深刻度が高くなりやすい脆弱性です。
主な原因
- 特定の URL やパラメータで、認証の確認が抜けている
- 認証の結果を、利用者が書き換えられる値（Cookie やリクエストのパラメータ）だけで判断している
- パスワードの再設定やログインの処理に論理的な不備がある
- 初期設定のパスワードや、開発用のアカウントが残っている
起きる被害
管理者になりすましてサイトを操作される、データを読み取られる、Webシェル などを設置されるといった被害につながります。ほかの脆弱性と組み合わせて RCE に発展することもあります。
