ブラウザの「境界線」を死守せよ：CSP object-src と base-uri が防ぐ、忘れられた脆弱性の深淵
アプリケーションセキュリティの現場で、私たちは日々「SQLインジェクション」や「クロスサイトスクリプティング（XSS）」といった、華々しい脆弱性にリソースを割いている。しかし、ベテランのハッカーたちが密かに、そして確実に狙っているのは、ブラウザという極めて複雑なサンドボックスの「仕様の隙間」だ。
特に、レガシーな技術要素が残存する環境において、object-src と base-uri の設定を怠ることは、堅牢な城門の横に「隠し通路」を放置するに等しい。本稿では、なぜこの二つのディレクティブが、モダンなWebアプリケーションのセキュリティアーキテクチャにおいて「最後の砦」となり得るのか、その技術的背景を紐解いていく。
—
1. object-src 'none'：プラグインという「メモリ汚染」の入り口を塞ぐ
かつてWebを席巻したFlashやSilverlightは、既に過去の遺物だ。しかし、攻撃者は今もなお、object要素やembed要素を通じて、ブラウザのプラグイン実行環境を呼び出そうと画策する。
なぜこれが危険なのか
object要素が許可されている場合、攻撃者は任意の外部リソースを読み込ませることで、本来のサンドボックスの制約をすり抜けることが可能になる。古いプラグインには、メモリ上のバッファオーバーフローを誘発する脆弱性が山積しており、攻撃者がサンドボックスの外側（OSレベル）へ脱出するための「足がかり」に利用されるリスクがある。
また、近年の生成AIを用いたポリグロット攻撃（単一のファイルが複数のファイル形式として解釈される脆弱性）において、objectタグは攻撃者が仕込んだ悪意あるペイロードをブラウザに強制実行させる強力なベクターとなる。
防御の処方箋
現代のWebアプリケーションにおいて、外部プラグインを許可する理由は存在しない。迷わず以下の設定を適用すべきだ。
CSPヘッダー設定例
Content-Security-Policy: default-src ‘self’; object-src ‘none’;
このobject-src 'none'は、単なる設定値ではない。ブラウザのレンダリングエンジンに対して、プラグインのロード処理そのものを無効化させる命令であり、CVEレベルの脆弱性を抱えるプラグインの実行を「構造的に排除」する最強のガードレイルだ。
—
2. base-uri 'self'：相対パスのハイジャックを未然に防ぐ
多くのエンジニアが軽視しているのが、HTMLの
攻撃シナリオ：ベースタグ・インジェクション
もし攻撃者がXSSを通じて
コメント