30秒で判断
- 対応すべき人: npm の
jsonpath（dchester/jsonpath）1.1.1 を利用しており、信頼できない入力をJSONPathで処理しているアプリの運用者 - 対応不要な人:
jsonpathを使っていない、または信頼できる入力しか扱っていない - 確認コマンド:
npm ls jsonpath
概要
npmの jsonpath パッケージ 1.1.1 の lib/index.js にある value 関数に、プロトタイプ汚染（Prototype Pollution）の脆弱性（CVSS 9.8）が報告されました。
プロトタイプ汚染は、Object.prototype などのオブジェクトのプロトタイプに攻撃者が任意のプロパティを注入できる問題で、アプリのロジック改ざん、サービス拒否、条件によってはコード実行につながる可能性があります。信頼できない入力をJSONPathの評価に渡している構成で特に注意が必要です。
CVSSベクトル
| 指標 | 値 |
|---|---|
| Attack Vector | Network |
| Attack Complexity | Low |
| Privileges Required | None |
| User Interaction | None |
| CVSSスコア | 9.8 (Critical) |
影響を受けるソフトウェア
| 製品 | パッケージ | バージョン |
|---|---|---|
| jsonpath | npm | 1.1.1 |
修正バージョンと回避策
- 対策: 修正済みバージョンへのアップデート、または Red Hat 系ディストリで提供されている RHSA を適用
- 信頼できない入力をJSONPath評価に渡さない設計を検討
関連リンク
データソース: NVD (NIST), Red Hat Security Advisory AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。