jsPDFにおけるPDF注入およびDoS脆弱性への緊急対応ガイド：CVE-2026-24737への実務的対策

Tech

[META:TYPE_SECURITY_ADVISORY_CSIRT_PRACTICAL_JS_LIBRARY]

本記事はGeminiの出力をプロンプト工学で整理した業務ドラフト（未検証）です。

jsPDFにおけるPDF注入およびDoS脆弱性への緊急対応ガイド：CVE-2026-24737への実務的対策

【脅威の概要と背景】

クライアントサイドでPDFを生成するライブラリ「jsPDF」において、悪意のある入力がPDF構造を破壊、またはリソースを異常消費させる脆弱性（CVE-2026-24737等）が公表されました。

【攻撃シナリオの可視化】

攻撃者がユーザー入力を介して、PDFオブジェクトの定義を改ざん、あるいは無限ループを誘発するペイロードを送り込むキルチェーンを以下に示します。

graph TD
    A["攻撃者"] -->|悪意のある文字列をフォーム入力| B("Webアプリケーション")
    B -->|未検証のデータをjsPDFへ渡す| C{"jsPDFエンジンの処理"}
    C -->|PDF Injection| D["生成PDF内に悪意あるJS/URIを埋め込み"]
    C -->|DoS| E["ブラウザのリソース枯渇・フリーズ"]
    D -->|被害者がPDFを開封| F["閲覧環境でのクロスサイトスクリプティング/XSS"]
    E -->|サービス利用不可| G["可用性の喪失"]

【安全な実装と設定】

脆弱な実装（直接的なユーザー入力の受け入れ）と、防御的な実装の対比を以下に示します。

1. PDF注入への対策（JavaScript）

脆弱なコード例:

// ユーザー入力をそのままPDFに描画
const doc = new jsPDF();
const userInput = new URLSearchParams(window.location.search).get('name');
doc.text(userInput, 10, 10); // ここでPDF構造が破壊されるリスク
doc.save('report.pdf');

安全な代替案:

import DOMPurify from 'dompurify';

const doc = new jsPDF();
let userInput = new URLSearchParams(window.location.search).get('name') || "";

// 1. 入力のサニタイズ（特にHTML経由で生成する場合）
const cleanInput = DOMPurify.sanitize(userInput);

// 2. 文字列の長さ制限と制御文字の除去
const safeText = cleanInput.replace(/[\x00-\x1F\x7F]/g, "").substring(0, 100);

doc.text(safeText, 10, 10);
doc.save('report.pdf');

2. DoS（リソース枯渇）への対策

jsPDFで大きな画像や複雑なパスを描画する際、メモリ消費を抑える設定が必要です。

// 3. 画像圧縮の強制と解像度の制限
const imgData = '...'; // ユーザーアップロード画像等
doc.addImage(imgData, 'JPEG', 10, 10, 50, 50, undefined, 'FAST'); 
// 'FAST'オプションや圧縮を利用し、描画負荷を軽減

【検出と緩和策】

  • EDR/WAFでの検知:

    • application/pdf のレスポンスに含まれる異常なキーワード（例: /JS, /JavaScript, /OpenAction）の監視。

    • HTTPリクエストパラメータにおける、PDFのシンタックス文字（>>, <<, obj, endobj）のシグネチャ検知。

  • 応急的な緩和策（Workaround）:

    • Content-Security-Policy (CSP) の object-src 'none' または script-src の厳格化により、PDF内からのスクリプト実行をブラウザ側で阻止する。

    • 信頼できないユーザー入力を伴うPDF生成機能を、修正パッチ適用まで一時的に停止する。

【実務上の落とし穴】

  • 誤検知のリスク: サニタイズ処理を厳格にしすぎると、多言語（非ラテン文字）や特殊な記号を含む正当なレポート出力が文字化けしたり、レイアウトが崩れたりする「可用性とのトレードオフ」が発生します。

  • クライアントサイドの限界: jsPDFはブラウザ上で動作するため、悪意のあるユーザーが自身のブラウザで意図的にDoSを引き起こすことは防げませんが、他者を標的にした「汚染されたPDFの配布」を防ぐことに主眼を置くべきです。

【まとめ】

組織のセキュリティ担当者は、直ちに以下の3点を確認してください。

  1. 依存関係の更新: npm audit 等を用いて jspdf のバージョンを確認し、修正済みバージョン（最新版）へアップデートする。

  2. 入力バリデーションの再点検: PDF生成関数（text(), html(), addImage()等）に渡されるデータが、適切にサニタイズ・型検知されているかコードレビューを実施する。

  3. CSPの適用確認: 生成されたPDFが悪用された場合に備え、ブラウザ側でスクリプト実行を制限するポリシーが適用されているか確認する。

参考文献:

ライセンス：本記事のテキスト/コードは特記なき限り CC BY 4.0 です。引用の際は出典URL（本ページ）を明記してください。
利用ポリシー もご参照ください。

コメント

タイトルとURLをコピーしました