依存関係
このタグの記事 7 件
プロトタイプ汚染（Node.js）— 本体が「脆弱性ではない」と定めた領域は、自分で守るしかない
プロトタイプ汚染は、外部入力に含まれる特殊なキーが再帰的マージなどを通って、JavaScriptの組み込みプロトタイプを書き換えてしまう欠陥。結果は2種類——設定した覚えのないプロパティが至るところに現れる（認可やオプションの判定が狂う）か、組み込みメソッドが消えてアプリが落ちる。重要なのは責任の所在で、Node.js公式は『これはNode.jsコアの脆弱性とは見なさない。ただしアプリと依存の層で防げ』と明記している。つまり待っていても誰も直さない。
OpenSSL とは — HTTPS を支える土台ライブラリと、その守り方
OpenSSL＝HTTPS(TLS/SSL)と暗号処理を担うオープンソースの土台ライブラリ。多くの人は直接書かず、Webサーバー・OS・言語ランタイム経由で継承して使う。だから1つのバグの影響範囲が巨大（Heartbleedが典型）。守り方は、①自分の環境が使うOpenSSLを把握 ②EOL版を使わない ③土台の依存もCVE監視 ④重大時は速やかに更新。当サイトが配る証明書も、その下でOpenSSL系の実装が動いている。
osv-scannerの導入と使い方：依存パッケージのCVEを機械で見つける
osv-scannerはロックファイルやコンテナを走査して依存のCVEを洗い出す無料ツール。導入・実行・CI組込みを手順化し、npm/pnpm audit・Dependabotとの使い分けまで整理する。当サイトの視点＝ツール選びの正解は『あなたの構成』で決まる。複数言語混在やGitHub非依存ならosv-scanner、単一npmなら同梱のpnpm auditで十分。
脆弱性(CVE)対応の実務：直しきって、再発を監視し続ける手順
脆弱性対応は『直した』で終わらない。完了＝①スキャン②修正③隔離/引き継ぎ④監視の4点が揃って初めて。特に監視（日次の変化検知）を載せるまでは未完——依存は明日また脆弱になるから。修正の中身が100点でも、次のデプロイで消える運用なら0点。小さな現場こそ、自動の変化検知と『local→push→deploy』の規律で驚くほど守れる。
Log4Shell（CVE-2021-44228）— 世界中が一晩で“使っているか分からない”脆弱性に震えた日
Log4jの脆弱性(CVSS 10.0)。本質は『間接的な依存（推移的依存）で、知らないうちに使っている』怖さ。ログ出力という受け身の処理が攻撃経路になった。SBOMと依存の機械監視、迅速なパッチ、追随CVEの追跡が教訓。
Next.js を安全に運用する：公開済みCVEに後れを取らないしくみ
フレームワークの最大リスクは公開済みCVEの放置。実稼働版で判定し、Dependabot/osv-scannerで機械監視、迅速更新、最小権限の4本柱で守る。当サイトの視点＝個人開発者が負けるのは知識でなく『運用の継続性』。速さより見落とさない仕組みで勝つ。
XZ Utils バックドア（CVE-2024-3094）— 信頼そのものが狙われたサプライチェーン事件
圧縮ライブラリxzに、信頼を得た維持者がバックドアを仕込んだ供給網攻撃。安定版到達寸前で一技術者の『遅い』という違和感が食い止めた。コードでなく『人と信頼』が狙われた。依存の最小化・版固定・再現性・違和感の追跡・維持者支援が教訓。