# オープニング #年末に向けた家計の見直し どうもー セキュリティジョッキーの松野です。 5社のセキュリティ企業を立ち上げて、300人以上のセキュリティ人材を輩出した屈指のセキュリティ企業家である私松野が、 東京都関連のセキュリティ組織で働きつつ、 サイバーセキュリティの最新ニュースについて解説しております。 ということでね、今日は年末に向けた家計の見直しに関する話なんですけども、 そうですね、年末年始といえばですね、クリスマスとかお正月ということで、何かと異常な方がですね、 多いんじゃないかなと思うわけなんですけども、まあそうするとですね、 地球だけこう無駄を減らしたいと いうふうに思うのは普通かなというところで、 ただこの無駄の定義ですよね。何がそもそも無駄なのかというところを 改めて思ってみるとですね、やっぱりこう 捧げた、お金だったり時間に対して得るものが少なかったというのがですね、 一般的に無駄とされるものかなと思っています。 ただですね、得られるものというのがですね、必ずしもそのお金だったり、 資本に結びつくものじゃなくてもいいのかなと思っています。 例えばこう思い出だったりとかですね、 心に残るものじゃないですか、形にはならないわけなんですけども、 そういったこう何かですね、無形のものであってもですね、 それは得るものとして定義できるんじゃないかと。 ですから先ほど言ったクリスマスであれば大切な人との思い出ですとか、 あとはね、新年を新しい気持ちで迎えられるというですね、 そういった心の持ち方みたいなところにですね、 一つお金だったりですね、時間をかけてみるのもいいかもしれません。 ということで今回はJavaScriptライブラリの脆弱性について取り上げております。 この放送を通じてリスナーの皆さんは、影響範囲の見極め方と優先的な対処方法について 理解を深めていただければと思います。 それではどうぞ。 # JavaScript ライブラリ expr-eval および expr-eval-fork に任意のコード実行につながる脆弱性 JavaScriptライブラリExprEvalおよびExprEvalForkに任意のコード実行につながる脆弱性 独立行政法人情報処理推進機構IPAおよび一般社団法人JPサートコーディネーションセンター JPサートCCは11月14日、JavaScriptライブラリExprEvalおよびExprEvalForkに任意のコード実行につながる脆弱性について Japan Vulnerability Notes JVNで発表した。こちらの記事を簡単に解説お願いできますでしょうか。 はい。今回の問題は数式を評価するライブラリExprEvalと、そのフォークであるExprEvalForkに存在する脆弱性で、識別番号はCVE-2025-12735と報告されています。 脆弱性の本質はイバリュエイト関数が採掘された入力を処理する際に、評価対象の式から任意のコマンドが実行される可能性がある点にあります。 影響範囲はライブラリを組み込んだWebアプリケーションやサーバ側の処理で、攻撃者が入力を通じてリモートコード実行を誘発できる恐れがあります。 JVNは開発者提供のパッチを適用するかアップデートを推奨しており、ExprEvalForkは対策済みのバージョン3.0.0をリリース済みです。 一方でExprEval本家については、記事時点で公式なアップデート情報が確認されていないため、利用者側で注意深くバージョン確認と代替措置を行う必要があります。 ExprEvalというライブラリは具体的にどんな役割をする技術なのでしょうか。 はい。ExprEvalは文字列で表された数式や式を解析して評価するためのライブラリです。 プログラム内でユーザーが入力した式を計算したり、動的に式を評価して値を得たりする場面で使われます。 単純な算術計算だけでなく変数や関数呼び出しのような構文を扱えるため、テンプレート処理やカスタム計算機能を実装する際に重宝されます。 ただし外部入力をそのまま評価する設計は慎重さが必要で、今回のような脆弱性では評価対象に不正な構造が混入すると安全性が損なわれます。 Evaluate関数のどんな挙動が任意のコード実行につながるのですか。 はい。Evaluate関数は文字列の式を解析して抽象構文記を生成し評価しますが、その評価過程で予期しないオブジェクト参照や関数呼び出しが許容されると、内部的にグローバルオブジェクトや実行環境の機能にアクセスされる可能性が出ます。 攻撃者が採掘した入力を与えることで式の中に悪意ある呼び出しを組み込み、結果としてシステム上で任意のコマンドが実行されるリスクが生じます。 典型的には入力のサニタイズ不足と評価時のホワイトリスト不備が原因で、ライブラリの実装や設定次第で影響範囲が大きく変わります。 具体的にどのように修正やアップデートを行えば良いですか。 はい。まず利用中のライブラリとそのバージョンを正確に特定してください。 パッケージ管理ツールの依存関係ツリーを確認し、ExprEvalまたはExprEvalForkが含まれている箇所を洗い出します。 次に開発者が示すパッチやプルリクエストを適用するか、対策済みバージョンへアップデートしてください。 ExprEvalForkは既にバージョン3.0.0で修正が入っているため、可能であればそこへ移行することが近道です。 この種の脆弱性を根本的に減らすための運用上の対策は何でしょうか。 はい。ライブラリに外部入力を直接渡す設計を避けることが最も重要です。 ユーザーからの式入力が必須の場合は、入力の厳格な検証とホワイトリスト方式を採用し、消化前に許可されたトークンや関数のみを通すようにしてください。 依存関係の定期的な棚下ろしと脆弱性情報の自動通知設定を整え、問題が公表されたら速やかに対応できる体制を作ることも鍵です。 加えて評価処理を権限の低い環境で実行するサンドボックス化や実行権限の最小化を組み合わせることで被害を限定できます。 なるほど。今回は数式評価ライブラリのイバリュエイト関数により任意コード実行につながる脆弱性が報告された点、 影響を受けるバージョンの特定と優先的なアップデート、テスト環境での検証と一時的なサンドボックス化が重要であることがよくわかりました。 また一つ勉強になりました。 # エンディングと今日のまとめ はい、ということでいかがでしたでしょうか。 今回はJavaScriptライブラリの脆弱性ということだったんですけれども、 JavaScriptには脆弱性というか、使用というか、使う際に注意が必要な関数というものが存在しておりまして、 その一つが、今回のライブラリに似ているんですけれども、イーバルという関数になります。 このイーバルという関数ですね、危険な関数が存在する、そもそもの理由なんですけれども、 いくつかある中で、一つですね、歴史的な背景が挙げられるというふうに思っています。 初期のウェブサイトでは、動的コードの実行がJavaScriptによって必要だったということが挙げられるんじゃないかなというふうに思っておりまして、 現在ではですね、それが例えばJSONであれば、PaaSにもイーバルは必要としないわけなんですけれども、 残念ながらですね、過去の遺産を引きずっていると言いましょうか、互換性の問題で古いコードがイーバルに依存してしまっているということもあったりします。 ですから、こういったイーバルですね、その中のコードを実行してしまうような仕組みをですね、どうしても利用しなければいけないという際にですね、 その第三者が任意の文字列を挿入できると、当然ながら不正なコードがブラウザ上で実行されてしまうというリスクがあることですね、十分気をつけていただければと思います。 今日の10分セキュリティラジオは、月曜から金曜の朝7時15分に配信しております。 そして、わからないことは今すぐ聞こう、何でも聞けるセキュラジー製作室は、水曜夜8時から絶賛生放送中です。 さらに土曜日は、セキュラジーAI認証のまとめチャンネルを放送しております。ぜひこちらも聞いてみてください。 それではまた次回のレギュラー配信でお会いしましょう。 セキュリティジョッキーの松野でした。 See you.