Same-Origin Method Execution

アプリケーションは、ユーザーによって制御可能なパラメーターをブラウザーによって実行される JavaScript コールバック関数として反映するので、攻撃者は同じエンドポイントのドメイン上の任意のページで、任意の JavaScript 関数を実行できます。

アプリケーションは、攻撃者の制御下にあるパラメーターを、ブラウザーが実行する JavaScript 関数の名前として使用します。 攻撃者は、最初に同じアプリケーションのドメイン上でターゲット ページをフレーム化し、次にターゲット ページ上で任意の JavaScript 関数を実行するために脆弱なページを参照する、悪意のあるサイトを作成する可能性があります。 悪用について大きな制限がいくつかありますが、この攻撃の影響は、Cross-Site Scripting の影響と似ています。 コールバック名として英数字とドット文字を使用できれば、攻撃者はページの要素を参照して操作することができます。

例 1: 次のコードは、コールバック関数名をユーザーが制御できる JSONP レスポンスを構成します。

  def myJSONPService(callback: String) = Action {
    val json = getJSONToBeReturned()
    Ok(Jsonp(callback, json))
  }

GET /api/latest.json?callback=myCallbackFunction などのリクエストの場合、Example 1 のコントローラー メソッドは、次のようなレスポンスを生成します。

HTTP/1.1 200 Ok 
Content-Type: application/json; charset=utf-8
Date: Tue, 12 Dec 2017 16:16:04 GMT
Server: nginx/1.12.1
Content-Length: 225
Connection: Close

myCallbackFunction({<json>})

攻撃者は JSONP エンドポイントからのレスポンスをロードするために JavaScript の Script タグを使用することができ、その結果、myCallbackFunction 関数が実行されます。 攻撃者は、異なるコールバック名を使用して DOM を参照し、操作する可能性があります。 たとえば opener.document.body.someElemnt.firstChild.nextElementSibling.submit を使用してターゲット ページにフォームを配置し、送信することができます。