Reactに重大な脆弱性、Next.js等にも影響…至急アップデートを

Reactは当初クライアント側でレンダリングするWebアプリケーション向けライブラリーとして開発され、のちサーバー側でのレンダリングを行う「React Server Components(RSC)」が登場しており、脆弱性はRSCに存在しています。

脆弱性はWebサイトに対し不正なリクエストを送信するだけで可能とされ、Webサーバー上で任意のコマンドを実行される恐れがあるとしており、サーバー上にある機密情報の読み取り、Webサイトのコンテンツの改ざん、あるいはサーバーを踏み台としての第三者ホストへのアクセス等様々なシナリオが考えられます。

多くのWebサイトで利用されるソフトウェアでこのような脆弱性が存在する事例は、例えばStruts・SpringFrameworkのようなJava製のアプリケーションフレームワーク、およびそれらを稼働させるTomcatアプリケーションサーバーでも度々報告され、決済フォームの改ざんによるクレジットカード情報の流出等に繋がることも珍しくなく、Webアプリケーションでどういったソフトウェア・ライブラリーを使用しているかを把握すること、それらに対するセキュリティアップデートがリリースされ次第確実に適用すること、また脆弱性を悪用する不正なアクセスを遮断するためのWAF(Webアプリケーションファイアウォール)等の採用を検討することが重要です。

本ランキングは2019年以降毎年同社から発表されていますが、ほぼ毎回「123456」が1位(2019年は「12345」、2022年は「password」が1位でした)であり、「数字の羅列」「password・admin等簡単な1単語と数字の組み合わせ」「qwerty・1qaz2wsx・asdfghjkl等キーボード上で並んでいる文字列」が多数を占めている他、「ユーザー本人の名前」「趣味に関連した単語(YouTube・TikTokで活躍する有名人のハンドル等)」も目立っている模様です。

少なくともランキングに掲載されていたり、それ以外でも前述したようなパターンに当てはまったりするパスワードを避けるべきなのは当然ですが、「大文字・小文字・数字・記号を全て含める」等を強制すべきかについては近年疑義も示されており、複数の単語からなる(場合によっては空白で区切る)「パスフレーズ」で文字数十分に長い(16～20文字以上)ものであれば、総当たりや辞書攻撃に対し概ね安全である、またパスワードを設定させるサービス側に対しても設定可能な最大長を16文字以内等に制限してはいけないとする意見出ています。

「使い回しを避ける」「管理ツールの使用ないしそれによる複雑なパスワードの生成」等が言われてきた段階を経て、近年はパスワードだけによる認証も安全ではなく、多要素認証やパスキー等に移行すべきという論調も既に有力であり、これらの検討とともに、認証において重要や役割を担うスマートフォン等についてもマルウェアや不正なアプリが侵入しないよう十分に注意をはらうようにしてください。