バッファオーバフロー攻撃とは？ばっふぁおーばふろーこうげき
バッファオーバフロー攻撃とは、プログラムが用意した領域より長いデータを送り込み、隣接する領域や処理の戻り先を上書きして、攻撃者の意図した処理を実行させる攻撃。入力の長さを確かめない実装で成立し、成功すればサーバの制御そのものを奪われる。ST試験の文脈では手口の詳細より、この種の欠陥が「運用の努力では防げず、開発品質と保守の継続でしか塞げない」という性質を押さえることが重要になる。
最終更新：2026-10-06
ITストラテジストを最短で暗記・合格する →背景
入力を受け取る側は、想定した長さのデータが来る前提でコードを書く。ところが入力は攻撃者の手にあり、前提は守られない。この構図は数十年変わっておらず、いまも重大な脆弱性の一角を占め続けている。防止には、境界を確認する実装と、欠陥が見つかったときに修正を適用し続ける体制の両方が要る——後者が効くために、サポート期限の切れた製品を使い続けることが経営リスクになる。経営会議では「この種の欠陥は運用の注意では防げず、修正プログラムを適用し続けられる状態を保つことが唯一の対策になる。サポート切れ製品の更新は、機能改善ではなく事故防止の投資だ」と説明する。
具体例
OpenSSLやネットワーク機器のファームウェアで、この類の欠陥に起因する緊急の修正が繰り返し公表され、そのたびに国内企業が休日返上で適用に追われてきた。IT戦略としては、機器やソフトウェアの構成情報を台帳として持ち、供給元のサポート期限を一覧で管理して更新の予算を毎年度確保しておくことが、突発的な緊急対応の回数を減らす打ち手になる。
試験での引っ掛け
侵入検知やファイアウォールで防ぎ切れると読むのは誤りで、正当な通信の中身として送り込まれるため、根本的には実装側で入力の長さを確認するしかない。もう一つの取り違えは「古いシステムだけの問題」という理解で、新しく作るソフトウェアや利用する部品にも同種の欠陥は生まれ続ける。修正の適用を「稼働中のシステムは触らない」という運用方針で先送りすると、既知の欠陥を放置したという経営責任の問題になる。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。