攻撃者が悪質な細工を施したSwagger文書を利用して、クライアントやサーバでリモートからコードを実行し、サービスシステムの定義に干渉できてしまう恐れがあるという。});Swaggerセキュリティ企業のRapid7は6月22日、オープンソースのAPIフレームワーク「Swagger」に深刻な脆弱性が見つかったと報告した。NodeJS、PHP、Ruby、Javaなど主要言語向けのSwaggerコードジェネレータに脆弱性が存在すると指摘している。Rapid7によると、脆弱性はSwaggerの一部のコードジェネレータで、悪質なSwagger定義文書の可能性が考慮されていないことに起因する。Swagger文書内のパラメータのチェックが不適切なために、攻撃者が悪質な細工を施したSwagger文書を利用して、クライアントやサーバでリモートのコードを実行し、サービスシステムの定義に干渉できてしまう恐れがあるという。同社はこの脆弱性を実証するMetasploitモジュールを公開。JavaScript、HTML、PHP、Ruby、Javaクライアントに対して悪用が成立することを実証した。コードジェネレータのパッチが公開されるまでは、ユーザーがSwagger文書を入念にチェックする必要があると勧告している。API記述のベースとして利用されている。「脆弱性の影響は多くのサードパーティープログラムに及び、攻撃者が一度に多数の異なるプログラムやシステムを攻撃することが可能」とされる。画像処理ツール「ImageMagick」に脆弱性、広い範囲に影響の恐れPHP、Ruby、NodeJS、Pythonなど多数のプログラミング言語にも使われているImageMagicに脆弱性が見つかった。【Update】脆弱性が指摘された機能は大半のUNIXベースシステムでIPアドレスの解決に使われており、影響は広範に及ぶ。Devices」(libupnp)というライブラリの脆弱性は2012年に修正されたにもかかわらず、古いバージョンを使い続けているアプリが多数存在するという。広告に関するお問い合わせメールマガジンSpecialインデックスRSSfacebooktwitter利用規約ITmediaはアイティメディア株式会社の登録商標です。