CVE-2024-43788

概要

Webpackはモジュールバンドラーです。その主な目的はブラウザで使用するためにJavaScriptファイルをバンドルすることですが、ほぼすべてのリソースやアセットを変換、バンドル、またはパッケージ化することも可能です。Webpackの開発者は、Webpackの`AutoPublicPathRuntimeModule`にDOM Clobberingの脆弱性を発見しました。このモジュール内のDOM Clobberingガジェットは、スクリプトを含まない攻撃者制御のHTML要素（例：サニタイズされていない`name`属性を持つ`img`タグ）が存在するWebページにおいて、クロスサイトスクリプティング（XSS）を引き起こす可能性があります。このガジェットの実世界での悪用は、WebpackによってコンパイルされたJavaScriptコードを通じてXSS攻撃を可能にするCanvas LMSで観察されています（脆弱な部分はWebpackに由来します）。DOM Clobberingはコード再利用攻撃の一種であり、攻撃者はまずスクリプトを含まない一見無害なHTMLマークアップをWebページに埋め込み（例：投稿やコメントを通じて）、既存のJavaScriptコード内に存在するガジェット（JSコードの断片）を活用して、それを実行可能なコードに変換します。この脆弱性は、Webpackが生成したファイルを含み、ユーザーが適切にサニタイズされていない`name`または`id`属性を持つ特定のスクリプトを含まないHTMLタグを注入できるWebサイトで、クロスサイトスクリプティング（XSS）を引き起こす可能性があります。この問題はリリースバージョン5.94.0で対処されています。すべてのユーザーにアップグレードを推奨します。この問題に対する既知の回避策はありません。

ソース

• webpack-cve-2024-43788研究

  webpack CVE-2024-43788 脆弱性を分析・実証し、セキュリティ研究者向けに検出と悪用の洞察を提供します。