概要
JavaScriptライブラリbinary-parserにはコードインジェクションの脆弱性が存在します。
影響を受けるシステム
- binary-parser 2.3.0より前のバージョン
詳細情報
binary-parserはバイナリデータを解析するためのパーサーを作成するJavaScriptライブラリです。binary-parserは、Functionコンストラクタを使用して実行時にJavaScriptコードを動的生成します。この際、パーサー定義に含まれるフィールド名やエンコーディング名として指定された値が、検証や無害化処理を経ずに生成されたコードに組み込まれます。その結果、攻撃者により任意のJavaScriptコードを実行される可能性があります。
想定される影響
攻撃者の用意した信頼できない入力値がパーサー定義に用いられると、Node.jsプロセスの権限で任意のJavaScriptコードが実行される可能性があります。
対策方法
アップデートする
開発者が提供する情報をもとに、最新版へアップデートしてください。
本脆弱性は次のバージョンで修正されています。
- binary-parser 2.3.0
ベンダ情報
| ベンダ | リンク |
|---|---|
| Keichi Takahashi | Fix code injection vulnerability via field names and encoding names |
参考情報
-
CERT/CC Vulnerability Note VU#102648
Code Injection Vulnerability in binary-parser library
JPCERT/CCからの補足情報
JPCERT/CCによる脆弱性分析結果
謝辞