SSL証明書の検証を無効化

深刻度: 中 CWE-295 OWASP A02:2021 Cryptographic Failures rule: ssl_verify

なぜ危険か

証明書の検証を切ると、通信経路上の誰でも呼び出し先APIになりすまし、APIキーを含むデータを盗み見たり改ざんしたりできます。

✕ 脆弱なコード

curl_setopt($ch, CURLOPT_SSL_VERIFYPEER, false);

✓ 安全なコード

curl_setopt($ch, CURLOPT_SSL_VERIFYPEER, true);
curl_setopt($ch, CURLOPT_SSL_VERIFYHOST, 2);

CURLOPT_SSL_VERIFYPEER は true、VERIFYHOST は 2 のままに。

コードを検査する

ファイルを貼り付けると、このルールに該当する行をすべて示します。