CAPTCHAスクリプトに起因する脆弱性、数百万サイトに影響の恐れ

jQueryプラグインのCAPTCHAスクリプトにクロスサイトスクリプティング（XSS）の脆弱性が見つかったとして、セキュリティ研究者が情報を公開した。

[鈴木聖子，ITmedia]

　Webサイトの検証機能実装に使われている「jQuery Validation Plugin」のCAPTCHAスクリプトに深刻な脆弱性が見つかったとして、セキュリティ研究者が自身のブログで11月18日に情報を公開した。同プラグインの作者はこの脆弱性を修正するパッチを19日に公開している。

　セキュリティ研究者Sijmen Ruwhof氏のブログによると、脆弱性はjQuery Validation Pluginのバージョン1.13.0に存在する。2014年8月に発見して作者やjQueryにメールで連絡したが、返事がなかったため情報の公開に踏み切ったという。

　この脆弱性はCAPTCHAデモンストレーションスクリプトに起因するといい、jQuery Validation Pluginの作者が同スクリプトをコピーしたことによって導入されたとRuwhof氏は推測する。悪用された場合、折り返し型クロスサイトスクリプティング（XSS）攻撃を仕掛けられてセッションを乗っ取られる恐れがあるという。

　さらに調べたところ、CAPTCHAスクリプトのこの問題は2007年から存在し、さまざまなWebサイトやソフトウェア製品にコピーされていたことが分かったとしている。

　Ruwhof氏は、この脆弱性を突いて何百万というWebサイトがXSS攻撃を受ける恐れがあると警告している。