jsPDFにおけるPDF注入およびDoS脆弱性（CVE-2026-24737等）の脅威と、今すぐ実施すべき安全な実装対策

Tech

本記事はGeminiの出力をプロンプト工学で整理した業務ドラフト（未検証）です。

jsPDFにおけるPDF注入およびDoS脆弱性（CVE-2026-24737等）の脅威と、今すぐ実施すべき安全な実装対策

【脅威の概要と背景】

jsPDFの入力検証不備によるPDF注入とDoS脆弱性（CVE-2026-24737等、2026年公開）の影響と対策を解説します。

【攻撃シナリオの可視化】

graph TD
    A["攻撃者: 悪意あるHTML/JSを含む入力"] -->|ユーザー入力をそのままjsPDFに渡す| B["Webアプリケーション"]
    B -->|不適切なエスケープ処理| C["jsPDFエンジン"]
    C -->|不正なPDFオブジェクトの注入| D["PDF注入: 不正スクリプト実行 / 悪意あるリンク"]
    C -->|再帰的パーシング / 無限ループ| E["DoS: CPU高負荷・ブラウザフリーズ"]

攻撃者は、信頼できない入力値（HTMLタグやPDF構造を破壊する特殊文字）をWebアプリケーションに送信します。アプリケーションがjsPDFの html() や text() メソッドにこれらを安全に処理せず渡した場合、PDFの構造が改ざんされて任意のコンテンツ（不正なJavaScriptを含むアノテーション等）が埋め込まれる（PDF注入）、あるいはパーサーがクラッシュしクライアント環境でDoSが引き起こされます。

【安全な実装と設定】

誤用（脆弱な書き方）

ユーザーから提供されたHTML文字列をそのまま html() メソッドに渡してPDFをレンダリングしています。これにより、悪意あるスクリプトやPDF制御文字がインジェクションされるリスクが生じます。

import { jsPDF } from "jspdf";

// 脆弱な例：ユーザーの入力をそのままHTMLとしてレンダリングする
function generatePDF(userInput) {
    const doc = new jsPDF();

    // ユーザー入力をサニタイズせずに直接html()メソッドに流し込んでいる
    doc.html(userInput, {
        callback: function (doc) {
            doc.save("output.pdf");
        }
    });
}

安全な代替案

信頼できるサニタイズライブラリ（DOMPurify等）を用いて入力を厳格にフィルタリングし、許可された安全なタグ・属性のみを有効化するか、プレーンテキストとして出力します。

import { jsPDF } from "jspdf";
import DOMPurify from "dompurify"; // 信頼性の高いサニタイズライブラリの利用

// 安全な例：入力を厳格にサニタイズし、プレーンテキストとして処理するか、安全なHTMLのみを許可する
function generatePDFSafe(userInput) {
    const doc = new jsPDF();

    // 1. HTMLを生成する場合はDOMPurifyで厳格にサニタイズ（最小権限の原則に基づく許可）
    const cleanHTML = DOMPurify.sanitize(userInput, {
        ALLOWED_TAGS: ['b', 'i', 'p', 'span', 'br'], // 必要な装飾タグのみに限定
        ALLOWED_ATTR: [] // 属性（特にhrefやonload等）は原則禁止
    });

    // 2. レンダリングの実行
    doc.html(cleanHTML, {
        callback: function (doc) {
            doc.save("output.pdf");
        },
        x: 10,
        y: 10
    });
}

具体的な保護策（最小権限とインフラ）

  1. コンテキストの分離（サンドボックス化）: フロントエンドでPDF生成を行う場合、メインスレッドのDOM環境から隔離するため、サンドボックス化された <iframe> やWeb Worker内でのみjsPDFを実行することを推奨します。

  2. 入力サイズ・リソース制限: DoS（リソース枯渇）攻撃を防ぐため、PDFに変換する入力文字列の最大長（文字数・バイト数）に上限を設け、アプリケーションの境界（フロントエンド/バックエンドの初期バリデーション）で超過データを拒否します。

【検出と緩和策】

  • 検出ポイント（SIEM/WAF/EDR等）:

    • WAFでのシグネチャ検知: HTTPリクエストのパラメータ内に、PDFの内部オブジェクト構造を示す特異なパターン（例：%PDF-、/JS、/JavaScript、/Launch など）や、不自然にネストされた不正なHTMLタグの検出。

    • クラッシュ・リソース監視: クライアントサイドでのJavascriptエラー率の急増（特に「Maximum call stack size exceeded」やブラウザの応答停止イベント）を検知・監視。

  • 応急的な緩和策（Workaround）:

    • 即座にアップデートが適用できない場合、一時的に doc.html() への入力を完全に遮断、もしくはプレーンテキスト出力メソッド（doc.text()）へ強制的にフォールバックさせるパッチを適用します。

【実務上の落とし穴】

  • 誤検知（False Positive）のリスク:

    • 開発者やユーザーが、数式（「%」や「/」を多用する表現）やプログラムコードなどの正規データをPDF化しようとした際、WAFのインジェクションルールに抵触し、正常な業務処理が誤ってブロックされる可能性があります。

  • 可用性とセキュリティのトレードオフ:

    • サニタイズ（DOMPurify等）を厳格に適用しすぎると、インラインスタイルや複雑な入れ子構造の表組み（tableタグ）などが無効化され、デザイン崩れや必要なドキュメント構造の欠落を招きます。業務で許容される表現範囲とセキュリティ強度のバランスを考慮したホワイトリスト設計が必要です。

【まとめ】

組織として今すぐ確認・実施すべき3つの優先事項：

  1. ライブラリのアップデート確認: 依存関係（npm/yarn等のパッケージ管理）における jspdf のバージョンを早急に監査し、CVE-2026-24737等の脆弱性が修正された最新のセキュアバージョンへ更新する。

  2. 入力サニタイズプロセスの強制: ユーザー入力からPDFを自動生成する全エンドポイントに対し、DOMPurify等を用いた厳格なホワイトリスト方式のHTMLサニタイズを実装する。

  3. 境界防御と流量制限: 大規模なファイルや長大データのインプットを防止するため、アプリケーション層での入力文字数制限（バリデーション）を直ちに有効化する。

参考文献

ライセンス：本記事のテキスト/コードは特記なき限り CC BY 4.0 です。引用の際は出典URL（本ページ）を明記してください。
利用ポリシー もご参照ください。

コメント

タイトルとURLをコピーしました