webpack-dev-serverで内部パス漏えい―修正版への更新と開発サーバーの公開範囲を確認

漏れるのはエラー応答の内部パス情報

エディターを開く機能のHost検証に不備があり、許可ホストの検査を通過してURL構築時の例外を起こせます。非本番環境の標準エラー応答に絶対パス、モジュールの場所、ソースの行番号などが含まれる問題です。

公式資料はサーバーが稼働を継続すると説明しています。コード実行やサービス停止、ソースコード全体の流出を確認した報告としては扱いません。攻撃者が対象サーバーへ到達できることが前提です。

5系は5.2.7、6系は6.1.0へ更新する

まずlockfileと依存関係ツリーで実際のバージョンを確認します。修正版は5.2.7と6.1.0です。webpack本体だけの更新で、webpack-dev-serverも修正されたとは判断できません。フレームワーク経由の間接依存なら、その提供元の対応版を確認してください。

依存関係とlockfileを更新したら、起動中の開発サーバーを停止して立ち上げ直します。以下は編集部の確認手順です。通常の画面表示と変更の自動反映を確認し、起動に使う環境の依存関係に旧版が残っていないか照合します。

更新までの間も接続できる範囲を狭める

公式アドバイザリに回避策の案内はありません。今回の不備はallowedHostsの検査を迂回するため、許可ホストを設定していることだけでは対応済みにできません。

露出を減らす運用として、手元だけで使うならhostを127.0.0.1などのループバックに限定します。共同利用が必要なら、ファイアウォールやアクセス制御で接続元を限定してください。これは編集部の運用提案であり、修正の代わりではありません。

設定ファイルだけでなく、実際の起動引数、ポート転送、リバースプロキシも確認します。修正版で再起動した記録と、必要な利用者だけが接続できることを確認して対応を終えます。