情報処理安全確保支援士試験 情報処理安全確保支援士試験 令和7年度春期 午前Ⅰ 問14: Web アプリケーションソフトウェアの開発における OS コマンドインジェクション対策はどれか。

正解

イ. シェルを起動できる言語機能を利用した実装を避ける。

正答率 55.6%（9人中 5人が正解）

問題の解説

OSコマンドインジェクションは、外部入力を含んだ文字列をシェル経由でOSコマンドとして実行させられる攻撃。根本対策は、シェルを起動する言語機能(system関数等)の使用自体を避け、必要ならコマンドと引数を分離して直接呼び出すこと。イが正解。アはSQLインジェクション対策、エはディレクトリトラバーサル対策で別の脆弱性向け。入力をシェルに渡さない設計が要点。

選択肢ごとの解説

• アプレースホルダ利用はSQLインジェクションの対策で、OSコマンド実行の防止策ではないため誤り。
• イシェルを起動する言語機能を避ければコマンド注入の経路を断てるため、対策として正しい。
• ウメモリ直接アクセスの回避はバッファオーバフロー等への対策で、本問の対策ではなく誤り。
• エファイル名のディレクトリ確認はパストラバーサル対策で、OSコマンドインジェクション対策ではなく誤り。