Snyk CLIおよびIDEプラグインでコードインジェクションの脆弱性（CVSSv3 5.8）が見つかりました

Snykをご利用のお客様に、CLIおよびIDEプラグインで新たに見つかった中程度の深刻度（CVSSv3 5.8）の脆弱性についてお知らせします。

• CVE-2022-24441

• CVE-2022-22984

悪用は困難ですが、これらの脆弱性によりホストシステム上で任意のコードが実行される可能性があります。リスクへの対処方法と安全を保つ方法について、以下で詳しく説明します。

CVE-2022-24441 – Snyk CLIおよびSnyk IDEプラグインにおけるコードインジェクション

信頼できないプロジェクトの分析にSnyk CLIを使用すると、任意のコードが実行される可能性があります。これは、Snyk CLIが分析用にプロジェクトの情報を取得するためにさまざまなビルドツールを利用しており、それらのツールがコードを実行する可能性があるためです。

Snyk IDEプラグインを使用する場合は、プロジェクトを開くとプラグインが自動的にSnyk CLIを呼び出して分析を実行するため、リスクが高まります。信頼できないフォルダーを開くだけで、任意のコードが実行される可能性があります。

信頼できないプロジェクトを実行するリスクからお客様を保護するため、SnykはSnyk IDEプラグインを変更し、開発者がコードをスキャンする前にプロジェクトを信頼するか確認するようにしました。

また、信頼できないコードのスキャンを避けるためのベストプラクティスを盛り込んだ、Snyk CLIのドキュメントも更新しました。IDEプラグインをご利用の方は、プロジェクトの信頼確認機能があるバージョンへのアップグレードをおすすめします。詳しくはSnyk Supportポータルをご覧ください。

CVE-2022-22984 – Snyk CLIのコマンドインジェクション

バージョンv1.1064.0より前のSnyk CLIには、後続の子プロセスの起動に使用する引数を構築するコマンドラインフラグに、任意のコマンドインジェクションの脆弱性があります。

攻撃の複雑さに加え、CLIコマンドの一部をすでに制御できることが前提となるため、重大なリスクではありません。ただし、Snykのお客様は、Snyk CLIのプログラムによる使用が悪用されないよう、できるだけ早く更新してください。

アップグレードして安全を保つ方法

CLIおよびIDEプラグインの更新方法など、詳しい情報はSnyk Supportポータルをご覧ください。

よくある質問への回答など、追加情報があれば随時こちらに掲載します。

詳細情報

各脆弱性の詳細は、公開脆弱性データベースでご確認いただけます。

• https://security.snyk.io/vuln/SNYK-JS-SNYK-3111871

• https://security.snyk.io/vuln/SNYK-JS-SNYK-3038622

これらの脆弱性は、Impervaの脆弱性研究者から責任ある脆弱性開示プロセスを通じて非公開で報告されました。

脆弱性を発見し、報告してくださったImpervaに感謝します。Snykは、責任ある脆弱性開示プログラムとオープンソーステクノロジーを推進する主要企業の一つであることを誇りに思っています。堅牢で最新のセキュリティ体制を築くうえで重要なのは、社内でのテストやツールに加えて、外部からのソフトウェアテストを促進することです。Snykは、あらゆるソフトウェアに脆弱性が含まれる可能性があることを認識しています。今後もソフトウェアを徹底的にテストし、ユーザーの安全を最優先にするため、必要なあらゆる対策を講じていきます。

繰り返しになりますが、これらは中程度の深刻度の脆弱性であり、高または重大なものではありません。多くの場合、悪用が難しいため、想定される影響は限定的です。ただし、深刻度にかかわらず適切な対策が重要です。安全を保つため、ツールを定期的に更新することをおすすめします。

Snyk CLIおよびIDEプラグインのアップグレードが必要となり、ご不便をおかけすることをお詫びいたします。ご不明な点は、Snyk Supportポータルからお問い合わせください。