protobufjsにおけるプロトタイプ汚染

Prototype Pollutionは、攻撃者がObject.prototypeにプロパティを追加または変更することで、JavaScriptオブジェクトの動作を制御する可能性があります。protobufjsにおけるこの脆弱性は、util.setProperty関数やReflectionObject.setParsedOption関数に信頼できないユーザー入力を渡すこと、または.protoファイルを解析/ロードすることによって発生します。これにより、アプリケーション全体に影響を及ぼす可能性があり、機密情報の漏洩や、悪意のあるコードの実行につながる可能性があります。Prototype Pollutionは、他の脆弱性と組み合わさることで、より深刻な影響をもたらす可能性があります。

Applications built using Node.js that rely on the protobufjs library for data serialization and deserialization are at risk. This includes applications that process data from untrusted sources, such as user-uploaded files or external APIs, and those that parse .proto files without proper validation.

• nodejs / server:

  npm list protobufjs

• nodejs / server:

  npm audit protobufjs

• generic web: Inspect application logs for unusual object property modifications or errors related to protobuf parsing. Look for patterns of unexpected property names being added to objects.

1. 2022-05-28Disclosure

   disclosure

1. 予約済み2022-02-24
2. 公開日2022-05-28
3. 更新日2025-01-14
4. EPSS 更新日2026-04-02

この脆弱性への主な対策は、protobufjsライブラリをバージョン6.11.3以降にアップデートすることです。アップデートが利用できない場合は、信頼できないユーザー入力を検証し、sanitizeするなどの対策を講じる必要があります。また、WAF（Web Application Firewall）を使用して、Prototype Pollution攻撃を検出およびブロックすることも有効です。.protoファイルの解析/ロード時に、入力の検証を強化することも重要です。