Node.js向けDOM実装Happy DOMで、信頼できないHTMLに含まれるiframeや外部CSSを読み込むと、サーバーから攻撃者指定先へHTTP通信するSSRFが起こり得る。21.0.0では外部リソースの自動ロードが無効化された。
30秒でわかる / THE SIGNAL
Node.js向けDOM実装Happy DOMで、信頼できないHTMLに含まれるiframeや外部CSSを読み込むと、サーバーから攻撃者指定先へHTTP通信するSSRFが起こり得る。21.0.0では外部リソースの自動ロードが無効化された。
HTMLの解析がサーバーからのHTTPアクセスにつながる
開発元のGHSA-c8p4-j97h-3vg8によると、Happy DOMの旧版はHTML内の`iframe`や`link rel="stylesheet"`を解析する際、既定で指定URLへのHTTPアクセスを実行する。サーバー側で利用者提供のHTMLを処理する場合、内部ネットワークやクラウドメタデータのURLを指定され、意図しない通信が発生する可能性がある。勧告には検証用HTTPサーバーへのアクセスを再現した記録があるが、実環境での侵害・認証情報流出を確認したものではない。
0.0では外部ロードを既定で停止
影響範囲は開発元勧告のバージョン欄で20.14.6以下。修正版21.0.0のリリースノートは、CSSとiframeの読み込みを既定で無効化し、新たに`enableCSSFileLoading`と`enableIframePageLoading`を導入したと明記している。旧版利用者は更新を優先し、必要な外部ロードを許可する場合も送信先を制限する。公式の評価はHIGH、CVSS 8.6。