検査と使用の競合
情報セキュリティマネジメント試験｜資源を検査してから実際に使うまでの隙に状態を書き換えられ、不正な処理を許す脆弱性はどれか
資源を検査してから実際に使うまでの隙に状態を書き換えられ、不正な処理を許す脆弱性はどれか。
ア入力された文字列の長さを確認せずに領域へ書き込み、領域を超えてしまう脆弱性。
イ利用者の入力をそのまま命令文に連結し、想定外の命令を実行させてしまう脆弱性。
ウ画面に他者が用意した透明な枠を重ねて表示し、利用者に意図しない操作をさせる脆弱性。
エ資源を検査してから使用するまでの隙に状態を書き換えられ、不正処理を許す脆弱性。
正解
エ．資源を検査してから使用するまでの隙に状態を書き換えられ、不正処理を許す脆弱性。
TOCTOUは検査時点(Time of Check)と使用時点(Time of Use)の間に資源の状態が変えられる競合状態で、権限確認の直後にファイルを差し替えるなどして検査をすり抜けさせる。
?選択肢ごとの解説
ア ×長さ未確認で領域を超える書き込みはバッファオーバフローで、検査と使用の時間差を突くTOCTOUとは別である。
イ ×入力を命令文に連結する不備はインジェクションで、状態変化の隙を突くTOCTOUとは原因が異なる。
ウ ×枠を重ねて誤操作させるのはクリックジャッキングで、資源の状態書き換えを突くTOCTOUとは異なる。
エ ○TOCTOUは検査時点(Time of Check)と使用時点(Time of Use)の間に資源の状態が変えられる競合状態で、権限確認の直後にファイルを差し替えるなどして検査をすり抜けさせる。
この問題の「深掘り・誤答の完全解説・覚え方」は、登録すると読めます。
情報セキュリティマネジメント試験は全3,036問。公開しているのはその一部で、登録すると残りも一問ごとにAI解説つきで解けます。SRS暗記カード・全真模試・弱点診断まで。
登録は1分・クレジットカード不要。無料のまま練習・暗記カード・模試まで使えます。
作成・校閲：ukamiru編集部 · 情報セキュリティマネジメント試験 過去問 · sg-a3-w4-0016