Angular <1.8.0 XSS Vulnerability (CVE-2020-7676) Advisory

主要脆弱性情報 脆弱性の種類: クロスサイトスクリプティング (XSS) 影響を受けるパッケージ: angular 影響を受けるバージョン: <1.8.0 CVE番号: CVE-2020-7676 CWE番号: CWE-79 導入日: 2020年5月10日 深刻度: 5.0（中程度） 修正提案: angularを1.8.0以降にアップグレードする 脅威インテリジェンス: EPSS 0.75%（第73パーセンタイル） 脆弱性情報 概要: - angularパッケージは、より賢明なブラウザがあれば、クライアントサイドでWebアプリケーションを記述できるようにします。また、HTMLをテンプレート言語として使用し、HTML構文を拡張することで、アプリケーションの構成要素を明確かつ簡潔に表現することも可能にします。 - 影響を受けるバージョンにはXSS脆弱性が存在します。正規表現によるHTML置換の入力が原因で、本来フィルタリングされるべきコードが未浄化のコードとして戻されることがあります。また、 要素内の 要素でラップされた場合、これが未浄化のコードに変換され、動作が変化することがあります。 XSSの詳細: - XSSは、攻撃者が信頼できるウェブサイトに悪意のあるスクリプト「注入」した場合に発生するコードの脆弱性です。 - 攻撃者は、Webアプリケーションの内容に悪意のあるスクリプトを注入します。このスクリプトは、クライアント側（通常はJavaScriptまたはHTML）で検証されずに実行されます。 - 悪意のあるコードの注入は、XSSを利用するための最も一般的な手法です。この操作を防ぐため、このような脆弱性を防止するためのエスケープ文字の処理は、コードを保護するための第一歩となります。 攻撃タイプ: - 蓄積型（Stored）: サーバーに悪意のあるコードが保存され、ユーザーがリンクをクリックした際にアクティブ化されます。 - 反射型（Reflected）: 攻撃者は、脆弱なWebアプリケーションの外部からユーザーに対し悪意のあるリンクを送信し、ユーザーがクリックすると、悪意のあるコードがユーザーのブラウザに返されます。 - DOM型（DOM-based）: 攻撃者は、ユーザーのブラウザに悪意のあるページを描画させるよう強制します。このページ自体がクロスサイトスクリプティングデータを提供します。 - 変種型（Variant）: 攻撃者は一見安全なコードを注入し、ブラウザが解析する際にコードが書き換え・改変されます。 影響を受ける環境: Webサーバー、アプリケーションサーバー、Webアプリケーション環境。 防御策: - HTTPリクエスト内のデータをフィルタリング（ノーマライズ）する。 - 特殊文字を変換する。 - ユーザーに対してクライアント側スクリプトの無効化オプションを提供する。 - 無効なリクエストをリダイレクトする。 - 同時ログインを検出する。 - コンテンツセキュリティポリシー（CSP）を採用する。 - 埋め込み可能なHTML要素について、参照しているライブラリのドキュメントを参照する。

目標達成 すべての支援者に感謝 — 100%達成しました！

Angular <1.8.0 XSS Vulnerability (CVE-2020-7676) Advisory

目標達成すべての支援者に感謝 — 100%達成しました！