Polyfillのサプライチェーン攻撃で11万サイトに影響

#脆弱性

掲載日

2024年6月27日

最終更新日

2025年6月10日

このたび、以下のような重大な悪用が発生した。 cdn.polyfill.ioの人気ドメインである。ポリフィル.JavaScriptアセットにマルウェアを埋め込むこのサプライチェーン攻撃によって、11万以上のウェブサイトが侵害されている。

TL;DR

ウェブサイトがhttp://polyfill.io/、直ちに削除してください。

このサプライチェーン攻撃は誰に影響を与えるのか？

会社情報 cdn.polyfill.io ドメインが悪意のあるスクリプトを提供するために乗っ取られている。つまり、ポリフィル（モダンなJavaScript関数のように、古いブラウザに新しい機能を追加する方法）をこのドメインに依存しているサイトは危険にさらされていることになる。 Sansecのセキュリティ研究者は、モバイルユーザーをスポーツ賭博サイトにリダイレクトさせるなどのマルウェアのペイロードの多くの事例を最初に特定した、

このサプライチェーン攻撃は、ユーザーのデータとアプリケーションの完全性を危険にさらす可能性があり、リバースエンジニアリングやその他の巧妙なトリックに対する保護機能まで組み込まれているため、エンドユーザーにどのような影響が及ぶか観察することができません。

Aikido、内部でpollyfill[.]ioを使用する依存関係について、継続的に新たな警告を追加しています。これにより、アプリケーションはサプライチェーン攻撃に対して脆弱な状態に置かれる可能性があります。主な依存関係には以下が含まれます：

albertcht/invisible-recaptcha(100万以上のインストール)
psgganesh/アンカー
ポリフィルイオローダ

この攻撃に関する詳細が公開されて以来、Namecheapはドメイン名を保留にし、ポリフィル・マルウェアへのリクエストを防止している。短期的にはマルウェアの拡散を防ぐことができますが、それでも適切な修復を続ける必要があります。

どうすればこの脆弱性を修正できるのか？

今すぐコードをスキャンしてください。 Aikido、コードベース内の以下のインスタンスをスキャンします： cdn.polyfill.io.

Aikido を作成して、コードをスキャンしてもらいましょう

このポリフィル・サプライチェーン攻撃に関する発見事項は、クリティカルスコアが100点であるため、上位に表示されます。この重大なサプライチェーン攻撃から自分自身とユーザーを守るために、検出されたすべてのポリフィルを直ちに削除してください。

原著者によれば、次のような良いニュースがある。 cdn.polyfill.ioあるいは、影響を受ける依存パッケージのどれであっても、アプリケーションのエンドユーザー・エクスペリエンスに影響を与えることはありません。

今日、http://polyfill.ioライブラリのポリフィルを必要とするウェブサイトはありません。ウェブ・プラットフォームに追加されたほとんどの機能は、ウェブ・シリアルやウェブ・ブルートゥースのような、一般的にポリフィルできないいくつかの例外を除いて、すべての主要なブラウザにすぐに採用されます。

Polyfillの機能が必要な場合は、Fastlyや Cloudflareの最近導入された代替機能を利用することができます。