webpack-dev-middlewareにおけるパス・トラバーサル

この脆弱性は、webpack-dev-middlewareを使用しているNode.jsアプリケーションにおいて、深刻なセキュリティリスクをもたらします。攻撃者は、悪意のあるリクエストを送信することで、開発者のマシン上の機密情報（ソースコード、設定ファイル、APIキーなど）を窃取する可能性があります。さらに、攻撃者はこの脆弱性を利用して、開発環境を改ざんしたり、悪意のあるコードを実行したりする可能性も考えられます。特に、開発環境が本番環境と同一の構成である場合、攻撃の影響範囲は拡大する可能性があります。

Development teams using webpack-dev-middleware in their Node.js projects are at risk, especially those who have enabled the writeToDisk option. Shared hosting environments where developers have limited control over server configurations are also particularly vulnerable, as are projects utilizing older, unpatched versions of webpack-dev-middleware.

• nodejs / server:

  find / -name 'webpack-dev-middleware' -print
  ps aux | grep webpack-dev-middleware
  journalctl -u webpack-dev-middleware -f

• generic web:

  curl -I http://your-server/../../../../etc/passwd
  grep '200 OK' /var/log/apache2/access.log

1. 2024-03-21Disclosure

   disclosure

1. 予約済み2024-03-18
2. 公開日2024-03-21
3. 更新日2026-02-04
4. EPSS 更新日2026-04-02

この脆弱性への対応策として、まずwebpack-dev-middlewareをバージョン7.1.0以上にアップグレードすることを推奨します。アップグレードが困難な場合は、writeToDiskオプションをfalseに設定し、仮想ファイルシステムを使用することで、物理ファイルシステムへのアクセスを制限できます。また、WAF（Web Application Firewall）を導入し、不正なファイルアクセス試行を検知・遮断することも有効です。アップグレード後、ファイルシステムへのアクセス権限が適切に設定されていることを確認してください。