Node.jsにおけるプロトタイプ汚染攻撃とは何か - ぼちぼち日記

1. はじめに 最近わけあってNodeのセキュリティ調査をしているのですが、今年の5月に開催された North Sec 2018 でセキュリティ研究者の Olivier Arteau 氏による 「Prototype pollution attacks in NodeJS applications」という面白い発表を見つけました。 この発表の論文や発表資料、デモ動画などもgithubで公開されていますし、ちょうどタイミングよくセッション動画も最近公開されました。 github.com Olivier Arteau -- Prototype pollution attacks in NodeJS applications この発表で解説されているのは、悪意のある攻撃者が、JavaScript言語固有のプロトタイプチェーンの挙動を利用して、Webサーバを攻撃する方法です。 発表者は、npmからダ

[jovi0608]

久々にNodeネタでブログを書きました。

[terurou]

安直なObjectのマージ、JSの文化だと割とやられちゃってるんよね。あと例がサーバーサイドだけど、PWAやらReactNativeやらでも同じことになるんよね。

[t-murachi]

Node.js に __proto__ 無効モードが欲しいくらい。いやね、アクセス制御のない言語仕様で特別な挙動をする共通の特殊メンバを持たせること事態が危険っちゃ危険なんだよね…(´・ω・`)

[field_combat]

なるほどねぇ

[mizchi]

攻撃というかJSってそういうもんじゃんって認識だった

[otchy210]

うっかり作り込みそうだなこれ…。オブジェクトのマージなんて日常じゃんか。Babel のプラグインでオブジェクトリテラルを全部 Map に変換するのが実用的には有効そうな気がする。

[ledsun]

言われてみれば、空のオブジェクトの__proto__を使うだけで、ルートオブジェクトにプロパティ生やせるの、長く生きて外部から任意の入力を受け取るサーバーアプリケーションには、すごい仕様だな。気がつかなかった

[wh11e7rue]

めっちゃおもしろい

[koba789]

"hasOwnProperty" を上書きするというアレもあるので、俺は Object.hasOwnProperty.call(obj, "key") してる

[mag4n]

読んでいる

[tettekete37564]

JS って遠い昔からそういう言語だよね。各個人が前提ルールを書き換えられることは決して自由なことではない。

[rryu]

__proto__が仕様化されていたとは。Objectには特殊な意味を持つプロパティはないという状況が変わってしまったのか。

[katsyoshi]

こわぁ

[bluerabbit]

なるほど。マジか...

[ginpei]

__proto__を含むオブジェクトを雑にmergeするとObject.prototypeを操作してしまう問題。npm auditでライブラリーの脆弱性を確認。constructorは気にしないで良いの？

[igrep]

これはつらい

[teppeis]

外部から入力される文字列をkeyに入れちゃダメ

[zyzy]

JSONと緊密な関係なおかげで、Objectにそのまんまくっつけられてしまい、実際そうやって扱いがちな事の弊害、という側面の問題でもあるのか

[masterq]

やっぱJSはブラウザで走らせる言語なのでは。。。

[nilab]

Node.jsにおけるプロトタイプ汚染攻撃とは何か - ぼちぼち日記

[progrhyme]

なるほど。。これはうっかりやりそうで怖い

[ardarim]

Javascriptの自由さが仇になってる感じかな

[uehaj]

起動のある時点で__proto__をリードオンリーにするモードとかが必要なんじゃないかね。無効にするといろいろと機能しなくなるとして。

[tohta111a]

参考になりました

[xorphitus]

なるほど…。言われてみればそうだよねって思うけど、言われないとやらかすな

[infobloga]

重要

[okumuraa1]

勉強させていただきますm(_ _)m

[komutan1]

JavaのStrutsでも似たような脆弱性あったな。リフレクション使って入力データをコピーしてたのでクラスローダを触られちゃうやつ。

[Futaro99]

hasOwnProperty が長くて書きたく無い問題

[coppieee]

一番の対策は脆弱性対応したライブラリにアップデートするでいいな

[rti7743]

外部から値を取るところはパラノイアと同じで警戒が必要。気をつけろ。誰も信頼するな。レーザーガンを手放すな！

[hasegawatomoki]

オゥ強烈。

[raimon49]

keyをチェックせずにmerge/cloneしていると任意の値がこっそり入ってしまう問題。緩和させる対策としてObject.freezeやMapの利用が挙げられている。

[Fohte]

面白いなー

[mumincacao]

PHP でも unserialize() で外部由来のでーた使うとおぶじぇくと埋め込めるなんてのあったなぁ・・・ （・ｘ【みかん