アクセス制御バイパス
攻撃者がシステムの認可メカニズムを回避して、保護されたリソースや機能に不正アクセスできる脆弱性です。
CWE-284に分類され、OWASP Top 10 2021で第1位。主な原因：関数レベルの認可チェックの欠如、認可決定へのクライアント提供データの使用、オブジェクトレベルの不十分なチェック（IDOR）。
graph LR
Center["アクセス制御バイパス"]:::main
Pre_authentication["authentication"]:::pre --> Center
click Pre_authentication "/terms/authentication"
Rel_zero_trust_security["zero-trust-security"]:::related -.-> Center
click Rel_zero_trust_security "/terms/zero-trust-security"
classDef main fill:#7c3aed,stroke:#8b5cf6,stroke-width:2px,color:white,font-weight:bold,rx:5,ry:5;
classDef pre fill:#0f172a,stroke:#3b82f6,color:#94a3b8,rx:5,ry:5;
classDef child fill:#0f172a,stroke:#10b981,color:#94a3b8,rx:5,ry:5;
classDef related fill:#0f172a,stroke:#8b5cf6,stroke-dasharray: 5 5,color:#94a3b8,rx:5,ry:5;
linkStyle default stroke:#4b5563,stroke-width:2px;
🧒 5歳でもわかるように説明
図書館で「スタッフ専用」の部屋に入るには特別なカードが必要だと想像してください。アクセス制御バイパスとは、鍵のかかっていない窓を見つけることや、警備員がカードを確認せずに通してしまうようなトリックを見つけることです。
🤓 Expert Deep Dive
攻撃タイプ：IDOR、パストラバーサル、垂直権限昇格、マスアサインメント、強制ブラウジング。CWE-284に分類。制御モデル：DAC、MAC、RBAC、ABAC。緩和策：デフォルト拒否、各リクエストのサーバーサイド検証。
❓ よくある質問
What is the difference between access control bypass and authentication bypass?
Authentication bypass defeats identity verification (you appear as someone you're not). Access control bypass assumes you may be legitimately authenticated but exploits flaws in permission enforcement — you access resources your account is not authorized to use.
Why is broken access control ranked #1 in OWASP Top 10 2021?
It was found in 94% of applications tested during the OWASP data collection period, with 318,000+ CVEs mapping to this category. It moved from #5 (2017) to #1 (2021) due to its prevalence in modern API-driven architectures where authorization checks are frequently incomplete.
How do I test for IDOR vulnerabilities?
Create two test accounts. Perform actions as Account A and capture the resource IDs (invoice IDs, user IDs, document IDs) in the request. Then replay those requests authenticated as Account B. If Account B can access Account A's resources, IDOR exists.