プロトタイプ汚染 とは？

JavaScriptにはプロトタイプチェーンという仕組みがあって、すべてのオブジェクトは「Object.prototype」という共通の親オブジェクトを持っているんだよ。プロトタイプ汚染はその親オブジェクトを攻撃者が書き換えることで、アプリ全体の動作を変えてしまう攻撃なんだ。

例えば、認証チェックで使っている変数のデフォルト値を書き換えてログイン制限をバイパスしたり、任意のコードを実行させたりできるんだよ。影響がアプリ全体に及ぶのが怖いところで、CVSSスコア9台の深刻な脆弱性として報告された事例もあるんだ。

よくあるのはJSONの深いマージ処理を使うパターンだよ。例えば攻撃者が{"__proto__": {"isAdmin": true}}というJSONを送り込むと、それをdeepMergeした瞬間にObject.prototypeのisAdminがtrueになってしまうんだ。多くのライブラリが昔はこの問題を持っていたよ。

いくつかの対策があるよ。Object.create(null)でプロトタイプを持たないオブジェクトを作る、hasOwnPropertyでプロパティの所有者を確認する、JSON.parseの結果を直接マージしない、といった方法が有効だよ。また、lodashなどのライブラリは修正済みバージョンを使うことも大切だね。

あるよ。lodash・jQuery・node-mergeなど多くの著名ライブラリで過去に発見されたんだ。npmエコシステムの依存関係を通じて知らないうちに脆弱なバージョンを使っているケースもあるから、npm auditで定期的にチェックするのが大切だね。