prototype-pollution の脆弱性(CVE-2025-63704・CVSS 9.8)

概要

prototype-pollution に脆弱性 (CVE-2025-63704) が存在。悪用されるとシステム全体を乗っ取られる可能性があります。

原文の説明

取得元が公開している説明をそのまま載せています (多くは英語)。

NPM package query-parser-string 1.0.0 is vulnerable to Prototype Pollution. The package does not properly sanitize user supplied query parameters and merges them to the newly created object.

出典: NIST National Vulnerability Database NVD GitHub Advisory

AI要約

外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。

NPMパッケージquery-parser-stringのバージョン1.0.0には、Prototype Pollutionという重大な脆弱性があります。これは、ユーザーからのクエリデータを正しく洗浄せず、そのデータをオブジェクトに悪意を持って組み込むことができる問題です。似たような問題には、過去の事件としてCVE-2019-10744がありました。あなたの会社では、可能な限り早くこのバージョンの使用を停止し、セキュリティ対策を講じるべきです。

NPMパッケージquery-parser-string 1.0.0には、Prototype Pollutionの脆弱性があります。この脆弱性は、_fillValue関数がfromQueryを用いてクエリパラメータを解析する際に発生します。影響バージョンは1.0.0で、まだ修正バージョンは提供されていません。攻撃者が以下のようなクエリを使用して、プロトタイプのpollutedプロパティを設定できます。

const { fromQuery } = require('query-string-parser');
const queryString = fromQuery("a=1&b=2&__proto__[polluted]=polluted");

暫定的な回避策は提供されていませんが、このパッケージの利用を控えるべきです。

❓ 何が問題か

CVE-2025-63704 に 脆弱性 (CWE-1321) があります。

📍 影響範囲

CVE-2025-63704 のうち。

🔥 重要度

重要度: 最重要 (CVSS 9.8/10)。悪用されるとシステム全体を乗っ取られる可能性があります

🔧 修正方法

ベンダー公式アドバイザリの修正版に更新してください。

🛡️ 暫定回避

修正版が未提供時は、影響機能の無効化・WAFルール・ネットワークACLでの遮断を検討。

🔍 検知方法

Webサーバ・プロキシ・WAFログで該当CVEのIOCに合致する不審リクエストを検索。SBOM/依存ファイルで影響バージョンを横断確認。

類似する過去の事例過去のCVE/インシデントから類似事例を抽出

CVE-2019-10744

Similar Prototype Pollution vulnerability in lodash package that allowed property injection.

もし自社で起きたら業務シナリオごとの想定影響

📌 Web applications using query-string-parser.

Could allow attackers to manipulate application behavior or access unauthorized data through object pollution.

📌 API services relying on query parsing.

Compromise of API services integrity and confidentiality by injecting unauthorized properties.

📌 Third-party tools or libraries depending on this package.

Risk of widespread vulnerability exploitation due to indirect dependencies.

推奨アクション

Discontinue using the vulnerable package version immediately and conduct a full review of dependency usage for security risks.

対応アクション

SOC/SREチームが順番に実行すべき具体的なステップとコマンド例

1
影響範囲の特定 identify
```
Audit SBOM/dependencies for affected components.
```
依存マニフェストで影響コンポーネントを特定する。
7
事後検証 verify
```
Confirm patched version is live in production
```
パッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番では Step 3 と同じログクエリでアラート再発が無いか継続監視。

影響パッケージ

npm query-string-parser

概要

原文の説明

AI要約

類似する過去の事例 過去のCVE/インシデントから類似事例を抽出

もし自社で起きたら 業務シナリオごとの想定影響

対応アクション

影響パッケージ

参照URL

類似する過去の事例過去のCVE/インシデントから類似事例を抽出

もし自社で起きたら業務シナリオごとの想定影響