LDAPインジェクション
From Wikipedia, the free encyclopedia
コンピュータセキュリティにおいて、LDAPインジェクション（英: LDAP injection）とは、ディレクトリ・サービスに接続するために使用される通信プロトコルであるLDAP (Lightweight Directory Access Protocol) で表現される、インジェクション攻撃である[1][2][3]。これにより、機密性の高いユーザー情報が漏洩したり、情報を改ざんすることでWebアプリケーションを悪用される恐れがある。LDAPインジェクションは、内部の検索、追加、または変更関数に渡される入力パラメータを操作することによって、アプリケーションのセキュリティ脆弱性を悪用する。アプリケーションがユーザー入力を適切にサニタイズ（無害化）しない場合、攻撃者がLDAP文を改ざんすることが可能になる。
LDAPインジェクションは、ユーザー入力が適切にサニタイズされずに、動的に生成されるLDAPフィルタの一部として使用される場合に発生する。これにより、LDAPサーバー上で実行されるLDAP文が操作され、認証情報の閲覧、改ざん、または迂回が行われる可能性がある[1]。