受入試験（指摘事項管理）

・危険度：高

・解説
アカウントを有している攻撃者が、別権限のデータを不正に閲覧できる可能性があります。
原因は、データに対するアクセス制限が実装されていないためです。
事前にID等の情報を入手する必要がある場合もありますが、推測又は何らかの方法で入手することは可能です。

・検出箇所
（１）
<給与明細書照会>-<給与明細書>
URL
https://c.ecomic-app.com/ecclub/kyuyoMeisaiSho

（２）
<雇用契約書照会>-<PDF>
https://c.ecomic-app.com/ecclub/koyoukeiyakusho/handleformall

<ドキュメント照会>-<PDF>
https://c.ecomic-app.com/ecclub/dokyumento/handleformall

・確認方法
（１）
1) 一般権限ユーザーでログインし、自身の給与明細書を閲覧します。
2) 送信されたHTTPリクエストのパラメータ「kihonrenban」および「meisaishoshubetsu」を確認します。
3) 別の一般権限ユーザーでログインします。
4) 自身の給与明細書を閲覧する際に送信されるHTTPリクエストをプロキシツール等でインターセプトします。
5) 下記のようにパラメータ「kihonrenban」および「meisaishoshubetsu」を2)で確認した値に置き換えて送信すると、本来閲覧できない別ユーザーの明細書が閲覧できます。

--------------------------------------------------------------------
URL
--------------------------------------------------------------------
https://c.ecomic-app.com/ecclub/kyuyoMeisaiSho
--------------------------------------------------------------------
HTTPリクエスト
--------------------------------------------------------------------
POST /ecclub/kyuyoMeisaiSho HTTP/1.1
Host: c.ecomic-app.com
（省略）

_token=DS8N49PorZqAZ0rK9KWXh45dHEi1VrMF8ZpzE38t&kihonrenban=＜別ユーザーで確認した値＞&meisaishubetsu=＜別ユーザーで確認した値＞
--------------------------------------------------------------------

（２）
上記（１）と同様の方法で、パラメータ「currentKey」を置き換えて送信すると、本来閲覧できない別ユーザーの雇用契約書またはドキュメントを閲覧できます。

--------------------------------------------------------------------
URL
--------------------------------------------------------------------
https://c.ecomic-app.com/ecclub/koyoukeiyakusho/handleformall
--------------------------------------------------------------------
HTTPリクエスト
--------------------------------------------------------------------
POST /ecclub/koyoukeiyakusho/handleformall HTTP/1.1
Host: c.ecomic-app.com
（省略）

repeatToken=1613700922&actionFlag=1&currentKey=＜別ユーザーで確認した値＞&currentDownloadUrl=https%3A%2F%2Fc.ecomic-app.com%2Fecclub%2Fkoyoukeiyakusho%2Fmydownload%2F1000_10453_7_000000000013&oldUpdateTime=2021-02-15+11%3A25%3A42.698926&_token=qPbpdnWTt3wNW8IAJXu19jswr14Qgc0n4oXz6Bt9&currentFudoiriyu=
--------------------------------------------------------------------

・対処方法
アクセス制限処理を実装してください。

ログインユーザーと閲覧しようとしているデータの
「会社コード」と「社員コード」が一致しているか判定し、
一致しない場合、権限エラー画面へ遷移させる。

---------------
対応確認いたしました。