【CVE-2024-38986】75lbのdeep-mergeにプロトタイプ汚染の脆弱性、緊急対応が必要

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約
75lbのdeep-mergeにおける重大な脆弱性の発見
deep-mergeの脆弱性に関する詳細情報
プロトタイプの汚染について
deep-mergeの脆弱性に関する考察
参考サイト

記事の要約

75lbのdeep-mergeにプロトタイプ汚染の脆弱性
深刻度基本値9.8の緊急レベルの脆弱性
情報漏洩やDoS攻撃のリスクあり

75lbのdeep-mergeにおける重大な脆弱性の発見

75lbが開発したdeep-mergeライブラリにおいて、オブジェクトプロトタイプ属性の不適切に制御された変更に関する重大な脆弱性が発見された。この脆弱性は2024年7月30日に公開され、CVE-2024-38986として識別されている。NVDによる評価では、CVSS v3による深刻度基本値が9.8と緊急レベルに分類されており、早急な対応が求められている。^[1]

この脆弱性は、deep-mergeのバージョン1.1.1に影響を与えることが確認されている。攻撃元区分はネットワークであり、攻撃条件の複雑さは低いとされている。また、攻撃に必要な特権レベルは不要であり、利用者の関与も必要ないことから、攻撃者にとって非常に利用しやすい脆弱性であると言える。

この脆弱性が悪用された場合、情報の取得や改ざん、さらにはサービス運用妨害（DoS）状態に陥る可能性がある。影響の想定範囲に変更はないものの、機密性、完全性、可用性のすべてに高い影響があると評価されている。そのため、deep-mergeを使用しているプロジェクトの管理者は、速やかにアップデートや対策の実施を検討する必要がある。

deep-mergeの脆弱性に関する詳細情報

	詳細
影響を受けるバージョン	deep-merge 1.1.1
CVE識別子	CVE-2024-38986
CVSS v3スコア	9.8（緊急）
攻撃元区分	ネットワーク
攻撃条件の複雑さ	低
必要な特権レベル	不要
ユーザーの関与	不要

プロトタイプの汚染について

プロトタイプの汚染とは、JavaScriptのオブジェクトプロトタイプを不正に変更することで、アプリケーション全体に影響を与える攻撃手法のことを指す。主な特徴として以下のような点が挙げられる。

オブジェクトの継承チェーンを利用した攻撃
グローバルな影響範囲を持つ危険な脆弱性
予期せぬコード実行やデータ改ざんのリスク

deep-mergeの脆弱性は、このプロトタイプの汚染に関連するものである。CWEでは、この種の脆弱性をCWE-1321「オブジェクトプロトタイプ属性の不適切に制御された変更」として分類している。この脆弱性が存在すると、攻撃者はオブジェクトのプロトタイプを操作し、アプリケーション全体の動作を予期せぬ方法で変更する可能性がある。

deep-mergeの脆弱性に関する考察

deep-mergeの脆弱性が緊急レベルとされた背景には、その広範な影響と攻撃の容易さがある。オープンソースライブラリの脆弱性は、それを利用する多くのプロジェクトに波及する可能性があるため、特に注意が必要だ。この事例は、依存関係の管理とセキュリティ更新の重要性を改めて浮き彫りにした。

今後、同様の脆弱性を防ぐためには、開発者がプロトタイプ汚染のリスクを十分に理解し、適切な防御策を実装することが重要になるだろう。例えば、Object.freezeを使用してプロトタイプを保護したり、ユーザー入力を厳格にバリデーションするなどの対策が考えられる。また、定期的なセキュリティ監査やペネトレーションテストの実施も有効だ。

この脆弱性の発見を契機に、JavaScriptエコシステム全体でセキュリティに対する意識が高まることが期待される。ライブラリ開発者はより堅牢なコードを書くことを心がけ、ユーザーは使用するライブラリの選定と管理により注意を払う必要がある。セキュリティコミュニティと開発者コミュニティの協力が、より安全なソフトウェア開発環境の構築につながるだろう。