多数のWebサイトにJavaScriptプロトタイプ汚染の脆弱性あり、セキュリティ研究者が発見：公開情報が少なく対策が不十分

　攻撃対象はユーザー入力フィールドや、Webサイトに渡されるクエリパラメーターなどだ。サイトのJavaScriptコードがクエリパラメーターをサニタイズする、すなわち攻撃につながる文字列を無効化せずに反復処理した場合、オブジェクトのプロトタイプを変更するコマンドが実行される危険がある。

　s1r1us氏とBlackFan氏は、この分野に精通した13人の研究者の協力を得て、調査に必要なツール群の開発に取り組んだ。

　まず、巨大なサブドメインデータベースで動作し、プロトタイプ汚染攻撃に脆弱なJavaScriptコードパターンを探す「Selenium bot」を作成した。併せて「PPScan」というWebブラウザ拡張機能も開発した。これはバックグラウンドで動作して、botと同様の機能を提供する。

　最後にプロトタイプ汚染を利用してクロスサイトスクリプティング（XSS）攻撃を仕掛けることができる、JavaScriptコードの断片である「スクリプトガジェット」を見つけるためのツールも使用した。Webブラウザの開発者向け機能と検索パターンを組み合わせることで、今回の調査に向けた探索が可能になった。

　研究チームは最終的に、プロトタイプ汚染攻撃に悪用され、XSS攻撃を可能にする恐れがある正当なJavaScriptコードフラグメントを見つけるためのツールを使用するのに至った。

見過ごされている危険性とは

　プロトタイプ汚染の脆弱性は、必ずしも悪いコーディングプラクティスに起因するものではないと研究チームは考えているものの、プロトタイプ汚染は見過ごされているのではないかとも懸念している。

　研究チームは次のように述べている。「JavaScriptやJavaScriptコーディングプラクティスの落とし穴を調べようとしても、プロトタイプ汚染に関する情報源はあまり見つからない。この脆弱性の影響を受けるWebサイトがこれだけ多いのは、それが理由だと考えられる。われわれの調査報告がこの攻撃対象領域に光を当て、この問題の緩和対策に役立つことを願っている」