HTTPヘッダインジェクションとは？
HTTPヘッダインジェクションとは、応答ヘッダに外部由来の値を埋め込む処理で、改行コードの混入を防いでいないために、任意のヘッダ追加や本文の分割ができてしまう欠陥。Cookieの設定、リダイレクト先の書き換え、応答分割によるキャッシュ汚染などにつながる。
えいちてぃーてぃーぴーへっだいんじぇくしょん
HTTPヘッダインジェクションの意味
応答ヘッダに外部由来の値を埋め込む処理で、改行コードの混入を防いでいないために、任意のヘッダ追加や本文の分割ができてしまう欠陥。Cookieの設定、リダイレクト先の書き換え、応答分割によるキャッシュ汚染などにつながる。
HTTPヘッダインジェクションの具体例
遷移先URLを応答ヘッダに反映する処理へ、改行に続けてSet-Cookieを含む値を渡し、攻撃者の指定したセッションIDを利用者に設定させる。対策は改行を含む値を拒否すること、および値を自前で組み立てずフレームワークのAPI経由で設定すること。
HTTPヘッダインジェクションは試験でどう引っ掛けられる？
対策として改行を削除するだけだと、%0d%0aのような符号化表現や、環境によっては単独の改行コードで回避される。またメール送信機能で件名や宛先に同じ欠陥が出る形（メールヘッダインジェクション）もあり、Web応答だけを見ていると見落とす。
HTTPヘッダインジェクションと関連する用語
最終更新：2026-08-25／解説は資格暗記が独自に作成しています。 過去問の出典は各問題に記載のとおりです。