解説

解説要約

情報の漏えいとは、当該情報にアクセスするための認可を明示的に受けていない者に対して､情報が意図的にあるいは意図せずに開示されることです。

詳細な解説

情報とは、以下のいずれかを指します。
1) 内部メッセージなど、製品自体の機能の中で慎重に扱われる情報
2) 攻撃者にとって有益だが通常は入手可能でない、製品や環境に関する情報 (リモートでアクセス可能な製品インストールパスなど)

情報の漏えいの多くは、他の脆弱性と関連した結果として発生しますが (例：PHP スクリプトエラーにおけるパスの漏えい) 、単独で発生する可能性もあります (例：暗号処理におけるタイミングの不一致) 。情報の漏えいを招く脆弱性は多種多様です。これらの脆弱性の影響度は、漏えいした情報の種類に依存します。

別名

Information Disclosure（情報公開）:

この用語は脆弱性データベースやその他の情報源において使用されますが、"disclosure(公開)" という言葉が常にセキュリティに関する意味を含むわけではありません。また、政策や法関連の文書においてもよく使用されていますが、セキュリティに関連する情報の公開については言及されていません。

Information Leak（情報漏えい）:

"leak" という言葉がよく使用されますが、セキュリティにおいては複数の意味を持ちます。一方で情報がさらされることを指す反面、"memory leak(メモリリーク)" のように枯渇につながるようなリソースの不正な追跡を指す場合もあります。そのため、CWE では "leak" の使用を避けています。

脆弱性の発生時期

アーキテクチャおよび設計
実装

該当するプラットフォーム

言語

全て

攻撃を受ける可能性

高い

被害の緩和策

信頼できる境界で明確に区切られる「安全な」区域を確保するため、システムを区分けして下さい。機密情報が信頼できる境界の外部に出て行くことを許可せず、安全領域の外部の区画にインターフェースで結合する場合は注意して下さい。

発生における他の脆弱性との依存関係

関係性

他組織での分類

関連する攻撃パターン

更新履歴

[2011年04月21日]
  2010年10月12日時点のデータを元に更新
[2009年06月29日]
  2009年02月02日時点の下記 URL を元に作成
    http://cwe.mitre.org/data/definitions/200.html