発表内容の脇の甘さ(6)〜対策の脇の甘さ

攻撃内容が「SQLインジェクションによる攻撃」とあるのに，「データベースサーバーに接続するためのID及びパスワードの全ての変更をしております」という内容がいかにもこっけいである．
もちろん，他の侵入経路を潰すという点では有効なのだが，SQLインジェクションは，DBMSを利用できるプログラムがDBMSを制御するために送付する電文を，攻撃者の都合のよいものにする．DBMSを利用できるプログラムは，DBMSアクセスのための正しいクレデンシャルを保持していると考えるのが自然である．いくらIDとパスワードを変更しても，プログラム側でアクセスのための情報（IDとパスワード）を持っている限りは，SQLインジェクションを防ぐためには屁の突っ張りにもならない．
1つ幸いなのは，PFCによる脆弱性試験の結果をうけた改修が行われているという点だが，はたしてこの改修が適切なものなのかは，大いに疑問が残る．