[非エンジニア向け] JSONインジェクションって何？🤔 Webサイトの弱点を知ろう！

用語解説
JSONインジェクションWebセキュリティセキュリティ初心者向け脆弱性

はじめに：Webサイトの隠れた弱点？

インターネットを使う上で、様々なWebサイトやアプリを利用しますよね。でも、これらの便利なサービスには、時々「脆弱性（ぜいじゃくせい）」と呼ばれる弱点、つまりセキュリティ上の問題が隠れていることがあります。😥

今回は、そんな脆弱性のひとつである「JSONインジェクション」について、専門的な知識がない方にもわかりやすく解説します。

JSONってそもそも何？ データのメモ帳みたいなもの📝

JSONインジェクションを理解するために、まずは「JSON（ジェイソン）」について簡単に知っておきましょう。

JSONは「JavaScript Object Notation」の略で、コンピューター同士が情報をやり取りするときに使われる、メモ書きのような形式のことです。特定のルールに従って書かれたテキストデータで、人間にも比較的読みやすいのが特徴です。

例えば、あなたのプロフィール情報をJSONで書くと、こんな感じになります（あくまでイメージです）：

{
  "名前": "山田 太郎",
  "年齢": 30,
  "趣味": ["読書", "映画鑑賞"]
}

このように、「項目名」と「値」をセットにして、情報を整理して記述します。Webサービスでは、ユーザーの情報や設定、サービスのデータなどをやり取りする際に、このJSON形式がよく使われています。

JSONインジェクションとは？ データに悪意ある情報を「注入」！💉

では、本題の「JSONインジェクション」とは何でしょうか？

簡単に言うと、Webサイトやアプリがユーザーからの情報（入力データ）を受け取ってJSONデータを作る際に、悪意のある人が不正なデータを紛れ込ませて「注入（インジェクション）」し、システムを騙したり、誤作動させたりする攻撃のことです。

Webサイトは、ユーザーが入力フォームなどに入れた情報をもとに、JSONデータを作って処理することがあります。このとき、入力された情報をきちんとチェック（サニタイズや検証と言います）せずにJSONデータを作ってしまうと、攻撃者はそこに悪意のある指示やデータをこっそり追加できてしまう可能性があるのです。

例えるなら…注文票へのいたずら書き？📦

ちょっと例えてみましょう。あなたがオンラインストアで商品を注文するとします。注文フォームに「商品Aを1個」と入力します。

お店側（Webサイト）は、この注文情報をJSON形式のデータ（注文票）に変換して処理します。

{
  "商品": "商品A",
  "個数": 1
}

もし、このお店のシステムにJSONインジェクションの弱点があったら…？ 悪意のある人が、注文フォームに普通の商品名だけでなく、こっそり追加の指示を紛れ込ませることができるかもしれません。

例えば、商品名の欄に「商品A", "割引": "100%"}」のような、JSONの書き方を悪用した文字列を入力したとします。もしサイトがこれをチェックせずそのままJSONにしてしまうと、出来上がるデータはこうなる可能性があります。

{
  "商品": "商品A",
  "割引": "100%",
  "個数": 1
}

本来なかったはずの「割引: 100%」という情報が勝手に追加されてしまいました！😱 これによって、不正に割引を受けたり、予期せぬ処理を引き起こしたりする可能性があるのです。これはあくまで簡単な例ですが、実際にはもっと複雑で深刻な被害につながることがあります。

どんな被害があるの？😨

JSONインジェクションが成功すると、様々な被害が発生する可能性があります。

  • 個人情報や機密情報の漏洩： 他のユーザーの情報や、通常は見られないはずの内部データが盗まれる。
  • データの改ざん： ユーザーの権限が勝手に変更されたり（例：一般ユーザーが管理者権限を得る）、登録情報が書き換えられたりする。
  • なりすまし： 他のユーザーのアカウントを乗っ取られる。
  • サービスの停止： システムが誤作動を起こし、サービスが利用できなくなる（DoS攻撃）。
  • 他の攻撃への利用： クロスサイトスクリプティング（XSS）など、別の種類のサイバー攻撃の足がかりにされる。

2024年10月には、Samsung Smart Hubという製品でJSONインジェクションの脆弱性が悪用され、結果的にデバイス上で不正なコードが実行される可能性があった事例が報告されています。

どうすれば防げるの？ 開発者の対策🛡️

私たちユーザーが直接できる対策は限られますが、Webサイトやアプリを作る開発者の人たちは、以下のような対策を行うことが重要です。

対策簡単な説明
入力値の検証（バリデーション）と無害化（サニタイズ）ユーザーから送られてきたデータが、想定している形式や内容になっているか厳しくチェックし、JSONデータとして解釈される可能性のある特殊な文字（{, }, ", ' など）を安全な形に変換（エスケープ）する。これが最も基本的な対策です。
安全なJSON処理ライブラリの使用JSONデータを安全に作成・解析するための専用ツール（ライブラリ）を使う。多くのプログラミング言語には、インジェクション対策が考慮されたライブラリが用意されています。文字列を単純に連結してJSONを作るような方法は避けるべきです。
eval()関数の使用回避（特にクライアントサイド）JavaScriptのeval()という関数は、文字列をコードとして実行できてしまうため、JSONデータの解析に使うと非常に危険です。代わりにJSON.parse()のような安全な関数を使います。
Content Security Policy (CSP) の導入ブラウザのセキュリティ機能であるCSPを設定し、eval()のような危険な関数の実行を制限することも有効な対策です。

要するに、「ユーザーからの入力を鵜呑みにせず、しっかりチェックして安全な形にしてから使う」ということが大切なんですね。

まとめ

JSONインジェクションは、Webサイトがユーザーからのデータを不用意に扱ってしまうことで発生する脆弱性です。攻撃されると、情報の漏洩や改ざんなど、深刻な被害につながる可能性があります。

普段何気なく使っているWebサービスも、このようなリスクと隣り合わせであることを少しでも知っておくと、セキュリティへの意識も高まるかもしれませんね。開発者の皆さんは、適切な対策を講じることが非常に重要です。✨

コメント

タイトルとURLをコピーしました