Lightning Flow Scannerにおけるコードインジェクション脆弱性: APIVersionルールにおける`new Function()`の不安全な使用

この脆弱性を悪用されると、攻撃者はスキャンプロセス中に任意のJavaScriptコードを実行できます。これにより、開発者のマシン、CIランナー、またはエディタ環境が侵害される可能性があります。攻撃者は、機密情報を盗んだり、システムを制御したり、さらなる攻撃を仕掛けたりする可能性があります。この脆弱性は、特に自動化されたビルドプロセスや継続的インテグレーション環境で使用されている場合に、深刻な影響を与える可能性があります。攻撃者は、悪意のあるフローメタデータファイルをアップロードすることで、システムを完全に制御できる可能性があります。

Developers using lightning-flow-scanner in their development workflows are at significant risk. This includes teams utilizing CI/CD pipelines that incorporate the scanner, as well as developers using code editors or IDEs that integrate with the component. Shared hosting environments where multiple developers share the same instance of the scanner are particularly vulnerable.

• nodejs: Monitor process execution for unusual JavaScript activity. Use ps aux | grep node to identify running instances of lightning-flow-scanner. Examine the command-line arguments for suspicious flow metadata files. • nodejs: Inspect the lightning-flow-scanner module's source code for the presence of new Function() calls, particularly within the APIVersion rule. • generic web: If the scanner is exposed via a web interface, monitor access logs for requests containing unusual or malformed flow metadata. Look for POST requests to endpoints that process flow files. • generic web: Check for unexpected JavaScript execution in the browser's developer console when interacting with the scanner's web interface.

1. 2025-12-12Disclosure

   disclosure

1. 予約済み2025-12-11
2. 公開日2025-12-12
3. 更新日2025-12-20
4. EPSS 更新日2026-03-23

この脆弱性への主な対策は、lightning-flow-scannerをバージョン6.10.6にアップデートすることです。アップデートが利用できない場合、一時的な回避策として、信頼できないソースからのフローメタデータファイルのインポートを制限することを検討してください。また、スキャンプロセスを隔離された環境で実行することで、攻撃の影響を軽減できます。WAFやプロキシサーバーを使用して、悪意のあるJavaScriptコードの実行をブロックすることも有効です。アップデート後、スキャンを実行し、エラーが発生しないことを確認してください。