IDOR脆弱性の解説：現代のアプリケーションでなぜ根絶されないのか

【なぜ重要か】 IDOR（不正な直接オブジェクト参照）は、APIを中心とした現代アプリケーションで最も一般的かつ危険な脆弱性の一つです。概念的には広く理解されているにも関わらず、実運用システムで継続的に発見されており、従来のセキュリティテスト手法では検出が困難な課題となっています。

【ポイント】

• IDOR脆弱性は、ユーザー提供の識別子でオブジェクトにアクセスする際、そのユーザーがそのオブジェクトにアクセス権限があるかを検証しない問題。OWASP API Security Top 10ではBOLA（Broken Object Level Authorization）として最上位リスクに位置付け
• 水平IDOR（同権限レベルでの他ユーザーオブジェクトアクセス）、垂直IDOR（管理者オブジェクトへのアクセス）、ブラインドIDOR（データ露出しないが操作は成功）の3つの主要パターンが存在
• 従来の侵入テストは手動でのリクエスト再実行と比較で検出するが、複雑なアプリケーションでは網羅的テストが困難。DASTツールは「意図」を理解できず、静的解析は高い偽陽性率を示す
• オブジェクトの所有権は認証状態、ロール、ワークフロー進行状況など複数の文脈に依存するため、単純なチェックでは検出困難。UUIDの使用も推測攻撃は防げるが、所有権チェックが欠如していれば脆弱性は残る
• 現実のシステムでは、システム進化の過程でワークフローの境界部分やリファクタリング時、本来接続されていなかった処理間で所有権の前提が再利用される際にIDORが発生しやすい

【まとめ】 IDORは単純なチェック漏れではなく、オブジェクト所有権の文脈的な認可失敗であり、ランタイムでの実際の動作検証が必要です。開発チームは従来の静的・動的解析に加えて、実行時のオーナーシップ検証を組み込んだテスト手法の導入を検討すべきです。