CVE-2020-15256は、object-pathライブラリのset()メソッドに存在するプロトタイプ汚染の脆弱性です。この脆弱性を悪用されると、攻撃者がアプリケーションのプロトタイプチェーンを汚染し、予期しない動作やセキュリティ上の問題を引き起こす可能性があります。影響を受けるのは、object-pathのバージョン0.11.4以前で、特にincludeInheritedPropsモードを有効にしている場合です。この脆弱性はバージョン0.11.5で修正されています。
object-pathのバージョン0.11.4以下のものにおいて、set()メソッドにプロトタイプ汚染の脆弱性が発見されました。この脆弱性は、バージョン0.11.0以上を使用している場合、includeInheritedPropsモード（includeInheritedProps: trueオプションを設定してobject-pathの新しいインスタンスを作成するか、デフォルトのwithInheritedPropsインスタンスを使用することで明示的に有効にする必要があります）でのみ発生します。バージョン0.11.0以上を使用している場合、デフォルトの動作モードは脆弱性の影響を受けません。攻撃者はこの脆弱性を悪用して、オブジェクトのプロトタイプ上のプロパティを修正し、影響を受けるオブジェクトが機密性の高い操作で使用されている場合、予期しない動作や悪意のあるコードの実行につながる可能性があります。CVSSの深刻度は7.7であり、高いリスクを示しています。
この脆弱性の悪用には、includeInheritedPropsモードでset()メソッドに提供される入力に対する制御が必要です。攻撃者は、オブジェクトのプロトタイプを変更する悪意のあるデータを注入し、その結果、オブジェクトを使用するアプリケーションの他の部分に影響を与える可能性があります。悪用の難易度は、攻撃者が入力を制御する能力とアプリケーションの複雑さによって異なります。この脆弱性は、object-pathを使用して機密データを操作したり、昇格された権限環境で実行されるアプリケーションでは、より重要です。
エクスプロイト状況
EPSS
0.16% (37% パーセンタイル)
CVSS ベクトル
この脆弱性に対する解決策は、object-pathライブラリをバージョン0.11.5以降に更新することです。即時の更新が不可能な場合は、includeInheritedPropsモードを無効にすることを推奨します。具体的には、includeInheritedProps: trueオプションを設定してインスタンスを作成しないようにし、withInheritedPropsインスタンスを絶対に必要な場合にのみ使用します。object-pathを使用するコードをレビューして、潜在的なプロトタイプ汚染の影響を特定し、軽減することが重要です。緩和策を適用した後は、徹底的なテストを実施して、システムの機能が正常に動作し、脆弱性が解決されていることを確認する必要があります。システムログを監視することで、攻撃の試行を検出するのに役立ちます。
Actualice la biblioteca object-path a la versión 0.11.5 o superior. Si no puede actualizar, evite usar la opción `includeInheritedProps: true` o la instancia `withInheritedProps` en versiones mayores o iguales a 0.11.0. Si está utilizando una versión anterior a 0.11.0, la única solución es actualizar.
脆弱性分析と重要アラートをメールでお届けします。
プロトタイプ汚染とは、オブジェクトのプロトタイプが変更され、そのオブジェクトのすべてのインスタンスに影響を与える現象です。これにより、予期しない動作やセキュリティ上の問題が発生する可能性があります。
プロジェクトのobject-pathのバージョンを確認してください。バージョンが0.11.4以下の場合、脆弱なバージョンを使用しています。
withInheritedPropsを使用している場合は、バージョン0.11.5以降に更新することが重要です。更新できない場合は、この機能を無効にすることを検討してください。
脆弱性によって引き起こされた損害を特定するために、徹底的なセキュリティ監査を実施してください。将来の攻撃を防ぐために、追加のセキュリティ対策を実装してください。
National Vulnerability Database (NVD)などの脆弱性データベースで、CVE-2020-15256のエントリを参照してください。