HTTPリクエストスマグリングとは？

HTTPリクエストスマグリングとは、前段のリバースプロキシと後段のWebサーバで、リクエスト本体の終端の解釈が食い違うことを利用し、1つの通信に潜ませた2つ目のリクエストを後段だけに認識させる攻撃。境界の食い違いは、長さ指定と分割転送の指定を併記したときなどに生じる。

えいちてぃーてぃーぴーりくえすとすまぐりんぐ

情報処理安全確保支援士試験の頻出用語／午前II

HTTPリクエストスマグリングの意味

前段のリバースプロキシと後段のWebサーバで、リクエスト本体の終端の解釈が食い違うことを利用し、1つの通信に潜ませた2つ目のリクエストを後段だけに認識させる攻撃。境界の食い違いは、長さ指定と分割転送の指定を併記したときなどに生じる。

前段が長さ指定で読み終えたと判断した残りが、後段では次のリクエストの先頭として扱われる。結果として、次に来た別利用者のリクエストへ攻撃者の断片が連結され、認証の迂回や、応答の取り違えによるセッション情報の窃取が起きる。

アプリのコードには欠陥が無く、構成要素間の解釈差という「継ぎ目」で起きるため、アプリ診断では見つかりにくい。対策は入力値検証ではなく、前段と後段の実装・設定を揃えること、あいまいなヘッダの組合せを拒否すること、接続の再利用方針を見直すことになる。

最終更新：2026-08-25／解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。