概要
| 脆弱性名(Ja) | オートコンプリートのパスワードフィールド |
| 脆弱性名(En) | Password Field With Auto-Complete |
| ID | 98081 |
| 危険度 | Low |
| ファミリー | Authentication & Session |
説明
オートコンプリート機能は、ブラウザがフォームに入力された情報を記憶し、再入力時に自動で補完する機能です。
多くのWebアプリケーションでは、ユーザーが何度も同じ情報を入力する手間を省くために、フォームフィールドに自動補完機能が搭載されていましたが、セキュリティリスクがあることが判明し、特にパスワードや機密情報に関しては問題視されるようになりました。
この脆弱性は、パスワードフィールドの「autocomplete」を無効にしないことで発生します。
サイバー攻撃者が物理的またはリモートアクセスでパスワードを取得するリスクが高まります。
リスク
この脆弱性があると、パスワードフィールドに「autocomplete」が有効なため、攻撃者がブラウザに保存されたパスワードを取得するリスクが高まります。
特に、公共のパソコンや共有端末では、他のユーザーが簡単にアクセスしてパスワードを取得できるため、深刻なセキュリティ問題に繋がります。また、リモート攻撃やマルウェアによって、ブラウザに保存された情報が不正にアクセスされるリスクも増大します。
検出トリガー
- パスワードフィールドの「autocomplete」が有効
NG: <input name="password" type="password" autocomplete="on" />
NG: <input name="password" type="password" />
OK: <input name="password" type="password" autocomplete="off" />対策
パスワードフィールドのみ無効化する
パスワード入力フィールドに対してのみ、autocomplete="off"を指定します。
<input type="password" autocomplete="off">フォーム全体でオートコンプリートを無効にする
HTMLフォームタグにautocomplete="off"を追加して、すべてのフィールドのオートコンプリートを無効化します。
<form autocomplete="off">
<input ...
</form>関連リンク
危険度が脆弱性ツールによって異なる場合があります。
| Tenable Plugin | https://jp.tenable.com/plugins/was/98081 |