ワクチン予約システムで話題の「SQLインジェクション」って何？ 試すと法律違反？ 専門家に聞く

防衛省が5月17日に始めた、大規模接種センターの新型コロナワクチン接種予約システム。Twitterでは「架空の番号で予約できる」「接種期間外でも予約できる」など、仕様にさまざまな問題が指摘された。その中には「SQLインジェクション」という手法を使い、システムが使っているデータベースに不正アクセスできてしまう可能性がある、という指摘もあった。 SQLインジェクションとは、システムが想定しない「SQL文」を何らかの方法で実行させ、利用しているデータベースを不正に操作する手法を指す。SQL文は、データベースを操作するための命令文だ。 ネット上では、本当に試したかのように「SQLインジェクションが行えた」と報告する投稿もあった。一方で、こういった行為は不正アクセス禁止法に抵触するのではないか、という指摘も出ている。SQLインジェクションが可能かどうか試す行為は本当に犯罪に当たるのか。ネットセキュリ

[tekitou-manga]

昨日検索したけど、SQLインジェクション出来るとした情報のソースは5chの匿名書き込みで、それを報じたメディアは朝日日経毎日ではなくてITメディア。何他人事感出してんだろうな

[tsysoba]

脆弱性診断を請け負う会社の代表が、「ガセの可能性が高い」ということが何を意味するのかが読めない。ハイコンテクストすぎる。 https://www.eg-secure.co.jp/service/inspection/

[tyouaniki]

匿名掲示板上のイキリキッズのコメントが一人歩きして架空の脆弱性があった事にされてる系？

[deep_one]

「ただし、データベースが別のシステムと連携しており、そちらがパスワードで保護されていた場合は、抵触する可能性もある」頭のおかしい話なんだが、むかし実際に検察がそう主張したことがあるんだよな（笑）

[ghostbass]

こういう単純なアプリでEroquentなりDoctrineなりの通常のクエリーを無視してアドホックなクエリー書く動機は薄いので、あるとすればEroquentの潜在的な脆弱性と言う事になる気がする。

[urandom]

SQLインジェクションが通る云々の風聞は根拠がなく疑わしいというのは別に徳丸氏の口を借りずとも言える事実なので、まずこれを明確に示すべきでは。

[feilung]

“「そもそも、SQLインジェクションが行えるという話があくまでSNS上のうわさ。真偽が定かでなく、ガセネタの可能性が高い」（徳丸さん）”

[daishi_n]

SQLインジェクションが流行ったのは15年以上前なのに未だにネタになるからな

[masa_bob]

マジクソ

[alt-native]

スピード優先するのは良い。短納期な事情もわかる。でも税金で構築してリリースした以上 品質に対する批判を受けるのは覚悟すべきだし、セキュリティの責任は負うべき。