全ウェブサイトの84%がjQueryのXSS脆弱性の影響を受ける

Snykの「JavaScriptフレームワークのセキュリティ状況レポート 2019」へようこそ。このブログでは、フロントエンドエコシステムの他のプロジェクトで見つかったセキュリティ脆弱性を紹介します。

主要なJavaScriptフレームワークであるAngularとReactを確認した後、Vue.js、jQuery、Bootstrapなど、厳選したJavaScriptおよびCSSフレームワークを簡単に見ていきます。

レポートはこちらからダウンロード！

jQueryのセキュリティ

jQueryは10年前にウェブ開発を席巻しましたが、その後、AngularやReactなどのシングルページアプリケーション技術によって、ウェブ開発はさらに進化しました。それでも、ウェブ技術の利用状況を定期的に調査・報告しているW3Techsによると、2019年8月に調査したウェブサイトの73%でjQueryが使用されています。

2017年のSnykの調査でもこの状況が浮き彫りになりました。サイトの77%で、少なくとも1つの脆弱なJavaScriptライブラリが使用されていると報告され、Alexaの上位5,000件のURLの79%でjQueryが検出されたことも指摘しています。まだ納得できない方もいるかもしれませんが、過去12か月間だけで、npmのjQueryモジュールは120,641,977回ダウンロードされています。

これまでにリリースされたすべてのjQueryバージョンを対象に、合計6件のセキュリティ脆弱性を確認しました。そのうち4件は中 severity のクロスサイトスクリプティング、1件は中 severity のプロトタイプ汚染、最後の1件は低 severity のサービス拒否脆弱性です。2019年4月10日にリリースされたばかりのjQuery 3.4.0以降を使用していない場合、脆弱なバージョンのjQueryを使用していることになります。

jQueryはレガシーコンポーネントとしてウェブアプリケーションで使われていることが多いため、バージョンの利用傾向とセキュリティ状況を把握することも重要です。

W3Techsの報告によると、jQueryを使用しているウェブサイトのうち、1.x系が83.4%を占め、バージョン2と3は大きく後れを取り、それぞれjQuery利用全体の約8%にとどまります。既知のセキュリティ脆弱性をjQueryのバージョンに対応付けたところ、中 severity のクロスサイトスクリプティング脆弱性4件がjQuery v1に影響していることがわかりました。オープンソースコンポーネントの脆弱性を見つけて修正するためにソフトウェア構成分析を導入していない場合、83.4%という市場シェアを考えると懸念すべき状況です。

多くのウェブサイトやウェブアプリケーションでは、jQueryの機能を拡張するためにjQueryライブラリも利用されており、そのためにコミュニティ提供のライブラリが使われることもあります。

次の表に示すように、脆弱性のあるjQueryライブラリを13件確認しました。以下に主な点をまとめます。

• jQueryライブラリのうち3つは、オープンソースコミュニティのモジュールを装った悪意のあるバージョンです。脆弱なバージョンのダウンロード数はnpmレジストリから確認できないため、実際のダウンロード数は算出できませんが、悪意のあるパッケージであるjquery.jsは、過去12か月間に5,444回ダウンロードされたことを特記しておきます。

• jQueryライブラリのjquery-mobile、jquery-file-upload、jquery-colorboxは、任意のコード実行やクロスサイトスクリプティングの脆弱性を含み、修正のためのアップグレード手段もないにもかかわらず、過去12か月間に合計340,000回以上ダウンロードされています。

*悪意のあるパッケージには修正情報がありません。

レポートはこちらからダウンロード

レポートの完全版はデジタル形式でのダウンロードを強くおすすめしますが、以下の一般的なセクションもブログ記事として公開しています。

• JavaScriptフレームワークのセキュリティ状況レポート 2019

• AngularとReactの比較：セキュリティ対決 2019

• AngularとReactのセキュリティ脆弱性を徹底比較：2019年版

• AngularとReactの比較：間接依存関係によるセキュリティリスク

• ReactとAngularのセキュアコーディング手法を比較

• jQueryのXSS脆弱性が全ウェブサイトの84%に影響