ニュース
APIフレームワーク「Swagger」に深刻な脆弱性、主要言語に影響
攻撃者が悪質な細工を施したSwagger文書を利用して、クライアントやサーバでリモートからコードを実行し、サービスシステムの定義に干渉できてしまう恐れがあるという。
セキュリティ企業のRapid7は6月22日、オープンソースのAPIフレームワーク「Swagger」に深刻な脆弱性が見つかったと報告した。NodeJS、PHP、Ruby、Javaなど主要言語向けのSwaggerコードジェネレータに脆弱性が存在すると指摘している。
Rapid7によると、脆弱性はSwaggerの一部のコードジェネレータで、悪質なSwagger定義文書の可能性が考慮されていないことに起因する。Swagger文書内のパラメータのチェックが不適切なために、攻撃者が悪質な細工を施したSwagger文書を利用して、クライアントやサーバでリモートのコードを実行し、サービスシステムの定義に干渉できてしまう恐れがあるという。
同社はこの脆弱性を実証するMetasploitモジュールを公開。JavaScript、HTML、PHP、Ruby、Javaクライアントに対して悪用が成立することを実証した。コードジェネレータのパッチが公開されるまでは、ユーザーがSwagger文書を入念にチェックする必要があると勧告している。
Swaggerの仕様は、2016年1月にOpen API Initiative(OAI)に寄贈されてOpenAPI仕様の基盤となり、RESTful API記述のベースとして利用されている。
関連記事
- 「Libarchive」ライブラリに脆弱性、7-Zipなどプログラム多数に影響
「脆弱性の影響は多くのサードパーティープログラムに及び、攻撃者が一度に多数の異なるプログラムやシステムを攻撃することが可能」とされる。 - 画像処理ツール「ImageMagick」に脆弱性、広い範囲に影響の恐れ
PHP、Ruby、NodeJS、Pythonなど多数のプログラミング言語にも使われているImageMagicに脆弱性が見つかった。 - 「glibc」ライブラリに脆弱性、Linuxの大部分に深刻な影響
【Update】脆弱性が指摘された機能は大半のUNIXベースシステムでIPアドレスの解決に使われており、影響は広範に及ぶ。 - 脆弱性ある古いlibupnpライブラリが使用のスマート家電、610万台に影響
「Portable SDK for UPnP Devices」(libupnp)というライブラリの脆弱性は2012年に修正されたにもかかわらず、古いバージョンを使い続けているアプリが多数存在するという。
関連リンク
Copyright © ITmedia, Inc. All Rights Reserved.