<p><meta/><style_prompt> Target Audience: Security Engineers, CSIRT, Frontend/Backend Developers Tone: Professional, Objective, Action-oriented Language: Japanese Format: Technical Article with Markdown and Mermaid Diagram </style_prompt>本記事は<strong>Geminiの出力をプロンプト工学で整理した業務ドラフト（未検証）</strong>です。</p> <h1 class="wp-block-heading">jsPDFにおけるPDF注入およびDoS脆弱性（CVE-2026-24737等）の脅威と実務的対策</h1> <h2 class="wp-block-heading">【脅威の概要と背景】</h2> <p>jsPDFにおける入力検証不備に起因するPDF注入やDoSの脆弱性（CVE-2026-24737等）が特定され、即時対応が推奨されています。</p> <p>本脆弱性は、ユーザー入力値がサニタイズされずにPDF描画処理（<code>text()</code>や<code>html()</code>メソッド等）へ引き渡されることで発生します。攻撃者は特製した文字列や悪意あるHTML/JavaScriptタグを挿入することで、生成されたPDF内での任意構造注入（PDF Injection）、フィッシングリンクの埋め込み、あるいは複雑な解析処理を誘発させることによるリソース枯渇（DoS）を引き起こす可能性があります。</p> <h2 class="wp-block-heading">【攻撃シナリオの可視化】</h2> <div class="wp-block-merpress-mermaidjs diagram-source-mermaid"><pre class="mermaid"> graph TD A["攻撃者"] -->|悪意ある制御文字/HTMLを入力| B["Webアプリケーション"] B -->|未検証データの引き渡し| C["jsPDF ライブラリ"] C -->|PDF構造の破損/解析ループ| D["DoS: CPU/メモリ枯渇"] C -->|悪意あるオブジェクト注入| E["PDF Injection: 任意コンテンツ描画"] E -->|生成されたPDF| F["被害者ユーザー/内部システム"] </pre></div> <h2 class="wp-block-heading">【安全な実装と設定】</h2> <h3 class="wp-block-heading">誤用例（脆弱な実装）</h3> <p>ユーザー入力をそのまま <code>jsPDF</code> の描画関数に渡している場合、制御文字やPDF構文の解釈が崩れ、注入攻撃や処理の制限回避が起きます。</p> <div class="codehilite"> <pre data-enlighter-language="generic">// 【脆弱なコード】未検証の入力を直接PDFに出力 import { jsPDF } from "jspdf"; function generateReport(userInput) { const doc = new jsPDF(); // ユーザー入力に含まれる特殊文字や制御コードが検証されていない doc.text(userInput, 10, 10); doc.save("report.pdf"); } </pre> </div> <h3 class="wp-block-heading">安全な代替案（対策実装）</h3> <p>ライブラリの最新版へのアップデートを実施した上で、入力値の厳格な型チェックとサニタイズ、描画制限を行います。</p> <div class="codehilite"> <pre data-enlighter-language="generic">// 【安全なコード】パッチ適用ライブラリと入力検証の導入 import { jsPDF } from "jspdf"; import DOMPurify from "dompurify"; // HTML経由の場合 function sanitizeInput(input) { if (typeof input !== 'string') return ''; // 改行コードや制御文字、PDF構文を不適切に破綻させる文字の削除/エスケープ return input.replace(/[\x00-\x1F\x7F-\x9F]/g, "").trim(); } function generateReportSafe(userInput) { const doc = new jsPDF(); const cleanInput = sanitizeInput(userInput); // 入力長の制限によるDoS緩和 const truncatedInput = cleanInput.slice(0, 1000); doc.text(truncatedInput, 10, 10); doc.save("safe_report.pdf"); } </pre> </div> <h3 class="wp-block-heading">パッケージ依存関係の更新（Bash）</h3> <div class="codehilite"> <pre data-enlighter-language="generic"># npm による依存関係の更新と監査 npm update jspdf npm audit fix </pre> </div> <h2 class="wp-block-heading">【検出と緩和策】</h2> <h3 class="wp-block-heading">検出ポイント</h3> <ul class="wp-block-list"> <li><p><strong>SCA（ソフトウェア構成分析）ツールによる検知</strong>: CI/CDパイプライン上で <code>npm audit</code> や Dependabot、Snyk 等を実行し、影響を受けるバージョンの <code>jsPDF</code> が含まれていないかを自動検出します。</p></li> <li><p><strong>WAF / アプリケーションログ</strong>: <code>jsPDF</code> に引き渡されるAPIパラメータ内で、異常に長い文字列や不自然な制御文字（<code>%\r\n</code> や PDFオブジェクト構文の断片）が含まれているリクエストを監視・ブロックします。</p></li> </ul> <h3 class="wp-block-heading">応急的な緩和策（Workaround）</h3> <ol class="wp-block-list"> <li><p><strong>入力長制限の導入</strong>: フロントエンドおよびバックエンド側で、PDF生成用に入力される文字列の長さを厳格に制限し、リソース枯渇攻撃を抑止します。</p></li> <li><p><strong>制御文字の除去</strong>: 描画処理直前にヌルバイト（<code>\0</code>）や不可視の制御コードを一括除去するインターセプターを配置します。</p></li> </ol> <h2 class="wp-block-heading">【実務上の落とし穴】</h2> <ul class="wp-block-list"> <li><p><strong>誤検知（False Positive）リスク</strong>: 記号や改行を多用する多言語テキスト（数式、特殊表記、制御コードを含むログデータ等）を厳しく制限しすぎると、正常なPDF生成処理が破壊されるリスクがあります。</p></li> <li><p><strong>可用性（パフォーマンス）とのトレードオフ</strong>: バックエンド（Node.js環境）で <code>jsPDF</code> を使用してPDFを動的生成している場合、CPU集中型のDoS攻撃を受けるとサーバー全体の処理速度が低下します。生成処理をワーカープロセスに分離し、タイムアウト値を設定することが不可欠です。</p></li> </ul> <h2 class="wp-block-heading">【まとめ】</h2> <p>組織として優先して実施すべき3つのアクション：</p> <ol class="wp-block-list"> <li><p><strong>依存関係の即時特定と更新</strong>: プロジェクト内で使用されている <code>jsPDF</code> のバージョンを確認し、修正パッチが適用された最新バージョンへアップデートする。</p></li> <li><p><strong>サニタイズ処理と入力制限の徹底</strong>: 描画処理へ渡されるすべての入力値に対し、制御文字の除去および最大長制限を適用する。</p></li> <li><p><strong>リソース孤立化と監視の強化</strong>: サーバーサイドでPDF生成を行う場合、メイン処理から隔離された環境で実行し、タイムアウトとリソース制限を設定する。</p></li> </ol> <hr/> <h3 class="wp-block-heading">参考文献</h3> <ul class="wp-block-list"> <li><p>JPCERT/CC: https://www.jpcert.or.jp/</p></li> <li><p>National Vulnerability Database (NVD): https://nvd.nist.gov/</p></li> <li><p>jsPDF GitHub Repository: https://github.com/parallax/jsPDF</p></li> </ul>

graph TD
    A["攻撃者"] -->|悪意ある制御文字/HTMLを入力| B["Webアプリケーション"]
    B -->|未検証データの引き渡し| C["jsPDF ライブラリ"]
    C -->|PDF構造の破損/解析ループ| D["DoS: CPU/メモリ枯渇"]
    C -->|悪意あるオブジェクト注入| E["PDF Injection: 任意コンテンツ描画"]
    E -->|生成されたPDF| F["被害者ユーザー/内部システム"]

// 【脆弱なコード】未検証の入力を直接PDFに出力
import { jsPDF } from "jspdf";

function generateReport(userInput) {
    const doc = new jsPDF();
    // ユーザー入力に含まれる特殊文字や制御コードが検証されていない
    doc.text(userInput, 10, 10); 
    doc.save("report.pdf");
}

// 【安全なコード】パッチ適用ライブラリと入力検証の導入
import { jsPDF } from "jspdf";
import DOMPurify from "dompurify"; // HTML経由の場合

function sanitizeInput(input) {
    if (typeof input !== 'string') return '';
    // 改行コードや制御文字、PDF構文を不適切に破綻させる文字の削除/エスケープ
    return input.replace(/[\x00-\x1F\x7F-\x9F]/g, "").trim();
}

function generateReportSafe(userInput) {
    const doc = new jsPDF();
    const cleanInput = sanitizeInput(userInput);

    // 入力長の制限によるDoS緩和
    const truncatedInput = cleanInput.slice(0, 1000);

    doc.text(truncatedInput, 10, 10);
    doc.save("safe_report.pdf");
}

# npm による依存関係の更新と監査

npm update jspdf
npm audit fix