【クラウドスキャン】有効ではないリダイレクト（unvalidated redirection）

有効ではないリダイレクトの再現方法は以下になります。

curl -H "host: outpost24.com" -i <URL>

実行後にリダイレクト先（Locationヘッダ）がoutpost24.comになる場合、「有効ではないリダイレクト」を検知します。リダイレクト先を検証せずに動作するため、リダイレクト先を指定することが可能です。
検知箇所にパラメータが含まれない場合は、ホストヘッダインジェクションに基づいています。 この場合、特定の状況下（例: FlashやAppletを使用しているアプリケーション）において危険性があります。しかし、現在ではこうした仕組みを使うアプリケーションはほとんどなく、ホストヘッダを利用したリダイレクトはロードバランサーやリバースプロキシの一般的な動作となっています。そのため、ロードバランサーやリバースプロキシの仕様に基づくリダイレクトであれば、ウェブアプリケーション側の危険性は低いと考えられます。

【対応策】

• ロードバランサーがリダイレクト先をホワイトリストで検証するよう設定する。
• ホストヘッダインジェクションに影響を受ける仕組みが存在しないことを確認し、リスク受容として登録する。