JQuery のクロスサイトスクリプティングの脆弱性（CVE-2020-11023）

何が起きた

ウェブページ作りでよく使われる部品の jQuery に、クロスサイトスクリプティング（XSS）の弱点が見つかりました。信頼できない相手からの option 要素を含む HTML を、無害化した後でも .html() や .append() などの jQuery の機能に渡すと、利用者のブラウザで不正なコードが動くおそれがあります。NVD の評価では、攻撃者はネットワーク経由で、ログインなしで悪用できますが、利用者の操作が必要とされています。CISA は実際の悪用を確認しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

jQuery の 1.0.3 以上、3.5.0 より前のバージョンを使っているウェブサイトやウェブアプリが対象です。jQuery は多くの製品に組み込まれているため、自分で直接入れていなくても使われていることがあります。

何をすればいい

jQuery を 3.5.0 以降に更新してください。すぐに更新できない場合、jQuery の勧告では、DOMPurify の SAFE_FOR_JQUERY という設定で HTML を無害化してから jQuery に渡す方法が示されています。jQuery の 3.5 への移行ガイドなど、公式の案内も確認してください。

やることチェックリスト

• サイトで使う jQuery の版を確認する
• jQuery を 3.5.0 以降に更新する
• 更新できない間は DOMPurify で無害化する

用語メモ

クロスサイトスクリプティング（XSS） 用語集で見る

ウェブページに不正なスクリプトを紛れ込ませ、見た人のブラウザで動かす攻撃です。

無害化

入力の中から危険な部分を取り除いたり、効かない形に変えたりすることです。

DOMPurify

HTML から危険な部分を取り除くための、ブラウザ向けの部品です。