mariocasciaro/object-pathにおけるプロトタイプ汚染

Prototype Pollutionは、オブジェクトのプロトタイプチェーンを改ざんすることで、予期せぬ動作を引き起こす攻撃手法です。CVE-2021-3805では、object-pathライブラリの脆弱性を利用して、攻撃者はプロトタイプを汚染し、アプリケーションの内部状態を操作したり、機密情報を漏洩させたりする可能性があります。特に、この脆弱性は、object-pathライブラリを依存関係として使用しているNode.jsアプリケーションに影響を与え、広範囲なシステムに影響を及ぼす可能性があります。攻撃者は、汚染されたプロトタイプを通じて、アプリケーションのロジックをバイパスしたり、権限昇格を試みたりする可能性があります。

Applications that utilize the object-path library, particularly those processing untrusted user input, are at risk. Node.js projects relying on object-path as a dependency are especially vulnerable. Projects using older versions of Node.js that may have outdated dependency management practices are also at increased risk.

• nodejs:

  npm list object-path

This command will list installed versions of object-path. Check if the version is less than or equal to 0.11.8. • nodejs:

  npm audit object-path

This command will check for known vulnerabilities in your project's dependencies, including CVE-2021-3805. • generic web: Examine application logs for unusual object property modifications or errors related to object-path usage. Look for patterns indicating malicious path manipulation.

1. 2021-09-17Disclosure

   disclosure

1. 予約済み2021-09-16
2. 公開日2021-09-17
3. 更新日2024-08-03
4. EPSS 更新日2026-04-02

CVE-2021-3805の主な対策は、object-pathライブラリをバージョン0.11.8以降にアップデートすることです。アップデートが困難な場合は、入力データの検証を強化し、信頼できないソースからのデータを処理する際に、オブジェクトプロトタイプへのアクセスを制限するなどの回避策を検討してください。また、WAF（Web Application Firewall）を導入し、Prototype Pollution攻撃を検知・防御することも有効です。アップデート後、アプリケーションの動作を十分にテストし、意図しない動作が発生しないことを確認してください。