HTTPヘッダインジェクションとは？えいちてぃーてぃーぴーへっだいんじぇくしょん
HTTPヘッダインジェクションとは、応答ヘッダに外部由来の値を埋め込む処理で、改行コードの混入を防いでいないために、任意のヘッダ追加や本文の分割ができてしまう欠陥。Cookieの設定、リダイレクト先の書き換え、応答分割によるキャッシュ汚染などにつながる。
最終更新：2026-10-06
情報処理安全確保支援士を最短で暗記・合格する →具体例
遷移先URLを応答ヘッダに反映する処理へ、改行に続けてSet-Cookieを含む値を渡し、攻撃者の指定したセッションIDを利用者に設定させる。対策は改行を含む値を拒否すること、および値を自前で組み立てずフレームワークのAPI経由で設定すること。
試験での引っ掛け
対策として改行を削除するだけだと、%0d%0aのような符号化表現や、環境によっては単独の改行コードで回避される。またメール送信機能で件名や宛先に同じ欠陥が出る形（メールヘッダインジェクション）もあり、Web応答だけを見ていると見落とす。
関連用語
出典・参考
公式シラバスの3 技術要素 ＞ 1. 情報セキュリティ ＞ (7) 攻撃手法に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。