Node.jsにおけるプロトタイプ汚染攻撃とは何か

npmで入手できるモジュールを調査し、lodashをはじめ多くのモジュールにプロトタイプ汚染の脆弱性があることを発見して報告しました。そして実際に脆弱性のあるGhost CMSを用い、パスワード再設定リクエストに必要なデータを改ざんして、サーバー上で電卓アプリケーションを実行させるデモにまで成功します。

JavaScript実行環境におけるプロトタイプ汚染の発生リスクは以前から語られてきましたが、これがNode.js環境のWebサーバーを攻撃するために利用されるとは、あまり想像されていなかったように思います。

この文書では、個人的な備忘も兼ねて、この攻撃の原理について説明したいと思います。