- SQL インジェクションSQL Injection
- Web アプリケーションの入力欄などを通じて、データベースへの命令（SQL）を不正に書き換えられてしまう脆弱性。
このページの内容
意味
SQL インジェクションは、利用者の入力をそのままデータベースへの命令に組み込む作りのために、命令を書き換えられてしまう脆弱性です。CWE-89 として整理され、OWASP も解説しています。データベースの中身の読み出しや書き換えにつながることがあります。
| 点 | 読み方 |
|---|---|
| 対象 | 製品の脆弱性か、自社や委託先が作った仕組みの不備か |
| 影響 | 読み出し・書き換え・削除のどれが起こりうるか |
| 預けているデータ | そのデータベースに自社のデータがあるか |
事件のときの見方
- 個人情報を扱う Web サービスでの SQL インジェクションは、漏えいの事件の原因として公表されることがある
- 委託先が作った仕組みの場合、修正の有無に加えて、同じ作りの箇所をほかにも確かめたかを聞く
{{製品名}}にSQL インジェクションの脆弱性（CVE-{{年}}-{{番号}}）が公表されました。御社が当社向けに提供しているサービスでの使用の有無、使用している場合はバージョンと修正版の適用の予定をお知らせください。
secubell のレポートでの扱い
事件の要点で、この語が出てくるときは言い換えと原典へのリンクを添えています。
レポートの中身サンプルレポートで見る →
原典・参考にした資料
- MITRE「CWE-89: SQL Injection」
- OWASP「SQL Injection」
このページは secubell が公開情報をもとにまとめた一般的な解説です。法的な判断や、個別の状況への助言ではありません。内容は原典で確かめ、自社の契約・体制に合わせてお使いください。法令上の報告・通知が要るかどうかの最終的な判断は、お客様ご自身と、弁護士などの専門家で行ってください。