jszip にプロトタイプ汚染の脆弱性があります

攻撃者は、この脆弱性を悪用して、jszipライブラリを使用しているNode.jsアプリケーションの動作を制御する可能性があります。具体的には、オブジェクトプロトタイプを汚染することで、アプリケーションの重要な機能に影響を与えたり、機密情報を漏洩させたりする可能性があります。この脆弱性は、特にファイル処理やデータ解析を行うアプリケーションにおいて深刻な影響を与える可能性があります。プロトタイプ汚染は、アプリケーション全体のセキュリティを損なう可能性があり、攻撃者はこの脆弱性を利用して、システムへの不正アクセスやデータの改ざんを試みる可能性があります。

Node.js applications that utilize the jszip library for zip file handling are at risk. This includes web applications, command-line tools, and any other JavaScript environment leveraging jszip. Projects using older versions of jszip, particularly those without robust input validation, are especially vulnerable.

• nodejs / supply-chain:

Get-Process | Where-Object {$_.ProcessName -like '*node*'} | Select-Object Name, Path, CPU

• nodejs / supply-chain:

Get-ChildItem -Path Env:NODE_PATH -Recurse -Filter 'jszip*' | Select-Object FullName

• generic web: Inspect Node.js application logs for errors related to object property modifications or unexpected behavior after zip file processing.

1. 2021-08-10Disclosure

   disclosure

1. 予約済み2021-01-08
2. 公開日2021-08-10
3. 更新日2025-01-14
4. EPSS 更新日2026-04-02

この脆弱性への主な対策は、jszipライブラリをバージョン3.7.0以降にアップデートすることです。もしアップデートが困難な場合は、入力されたzipファイルのファイル名を検証し、オブジェクトプロトタイプに関連する値が含まれていないことを確認するなどの対策を講じる必要があります。また、WAF（Web Application Firewall）を導入し、悪意のあるzipファイルのアップロードを検知・ブロックすることも有効です。アップデート後、アプリケーションを再起動し、正常に動作することを確認してください。