- 認証回避Authentication Bypass
- ID・パスワードなどの本人の確認を経ずに、システムにログインした状態になれてしまう脆弱性。
このページの内容
意味
認証回避は、本来は本人の確認が要る機能に、確認なしで入れてしまう脆弱性です。CWE では、認証の不備（CWE-287）や、別の経路を通った認証の回避（CWE-288）として整理されています。管理画面の認証回避は、RCE などとつながって大きな影響になることがあります。
| 点 | 読み方 |
|---|---|
| 対象の画面 | 管理画面か、利用者の画面か |
| 公開の範囲 | インターネットから届くか |
| MFA の効き目 | 認証そのものを飛ばされると、MFA も効かないことがある |
事件のときの見方
- MFA を使っていても、認証の仕組みそのものを飛ばされる脆弱性では防げないことがある。修正版の適用を先に確かめる
- 管理画面をインターネットに出しているかどうかを、委託先に合わせて聞く
{{製品名}}に認証を回避できるの脆弱性（CVE-{{年}}-{{番号}}）が公表されました。御社が当社向けに提供しているサービスでの使用の有無、使用している場合はバージョンと修正版の適用の予定をお知らせください。
secubell のレポートでの扱い
事件の要点で、この語が出てくるときは言い換えと原典へのリンクを添えています。
レポートの中身サンプルレポートで見る →
原典・参考にした資料
- MITRE「CWE-287: Improper Authentication」
- MITRE「CWE-288: Authentication Bypass Using an Alternate Path or Channel」
このページは secubell が公開情報をもとにまとめた一般的な解説です。法的な判断や、個別の状況への助言ではありません。内容は原典で確かめ、自社の契約・体制に合わせてお使いください。法令上の報告・通知が要るかどうかの最終的な判断は、お客様ご自身と、弁護士などの専門家で行ってください。