Prototype Pollution

このアプリケーションでは、ユーザーによるプロトタイプの汚染が可能です。

プロトタイプ汚染は、悪意のあるユーザーにオブジェクトのプロトタイプの上書きを許可する攻撃です。
プロトタイプ汚染を理解するには、まずプロトタイプの継承を理解する必要があります。プロトタイプとプロトタイプ チェーンは、JavaScript のプロパティと関数のルックアップとして使用され、継承を実現します。特定のオブジェクトのプロパティにアクセスしようとすると、現在のオブジェクト定義がチェックされます。現在のオブジェクトがプロパティを定義していない場合は、プロトタイプ クラスがチェックされます。プロトタイプは、プロパティが見つかるか、設定されたプロトタイプが見つからなくなるまで再帰的にチェックされます。

デフォルトでは、JavaScript のほとんどのオブジェクトには Object.prototype を指すプロトタイプがあるため、オブジェクトのプロトタイプを上書きできる攻撃者は通常、Object.prototype の定義を上書きできてしまい、これによりアプリケーション内のすべてのオブジェクトが影響を受けます。

アプリケーション (またはその依存関係のいずれか) が、プロパティが常に明示的に設定されるのではなく undefined にできるという事実に依存する場合、プロトタイプが汚染されると、アプリケーションは意図したオブジェクトではなく、誤ってプロトタイプから読み取りを行う可能性があります。

プロトタイプ汚染は次の場合に発生します。

1.信頼できないソースからデータがプログラムに入力された場合。



2.プロトタイプの上書きを許可する API にデータが渡された場合。

例 1: 次のコードは、脆弱なバージョンの lodash を使用して、オブジェクトのプロトタイプを汚染します。

import * as lodash from 'lodash'
...
let clonedObject = lodash.merge({}, JSON.parse(untrustedInput));
...

この時点で、信頼できない入力が {"__proto__": { "isAdmin": true}} の場合、Object.prototype は isAdmin = true に定義されます。

アプリケーションの後半にある次のコードを見てみます。

...
let config = {}
if (isAuthorizedAsAdmin()){
    config.isAdmin = true;
}
...
if (config.isAdmin) {
    // do something as the admin
}
...

isAdmin は、isAuthorizedAdmin() が true を返す場合にのみ true に設定する必要がありますが、アプリケーションが else 条件に config.isAdmin = false を設定できないため、config.isAdmin === undefined === false という事実に依存します。
残念ながら、プロトタイプが汚染されているため、config のプロトタイプは isAdmin === true に設定され、これにより、管理者による承認をすり抜けることが可能になります。