ファイルアップロードの脆弱性とは？

ファイルアップロードの脆弱性とは、利用者が送ったファイルの種類・保存先・名前の扱いが甘いことで生じる欠陥。スクリプトを置いて実行されると、Webシェルとしてサーバを乗っ取られる。マルウェアの配布置き場にされる、容量を使い切られるといった影響もある。

ふぁいるあっぷろーどのぜいじゃくせい

情報処理安全確保支援士試験の頻出用語／午前II

ファイルアップロードの脆弱性の意味

利用者が送ったファイルの種類・保存先・名前の扱いが甘いことで生じる欠陥。スクリプトを置いて実行されると、Webシェルとしてサーバを乗っ取られる。マルウェアの配布置き場にされる、容量を使い切られるといった影響もある。

拡張子だけでなくファイル先頭のシグネチャも確認し、保存名はサーバ側で採番した値に置き換え、公開領域外またはオブジェクトストレージへ保存して配信時はスクリプト実行できない経路を通す。受信時のウイルススキャンとサイズ上限も併せて設ける。

拡張子の許可リストだけでは、二重拡張子やサーバ設定の癖で実行されることがある。またContent-Typeは送信側が名乗るだけの値なので信用できない。「画像として開けたか」の確認も、画像内にコードを埋める手口があるため単独では不十分。

最終更新：2026-08-25／解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。