SVGのサニタイズの課題

SVG（スケーラブルベクターグラフィックス）のセキュリティ問題とサニタイズの困難さについての記事です。ユーザー生成コンテンツを扱うWebアプリケーションでは、SVGファイルは複数の深刻なセキュリティリスクをもたらします。

主な課題は、HTTPリーク（SVGに埋め込まれたリソースがHTTPリクエストを発生させてユーザー情報を漏洩させる可能性）とXSS脆弱性（JavaScriptを含むSVGタグを通じた攻撃）です。単純な正規表現によるフィルタリングでは不十分であり、多くの危険なベクトルが存在します。

この問題の信頼できる解決策はコンテンツセキュリティポリシー（CSP）とされており、HTTP応答ヘッダとHTMLメタタグの両方で設定可能です。技術的には、SVGは「パスと塗りつぶしの集合」と「スクリプト実行などの危険な機能」という2つのタイプに分類でき、大多数の実際のSVGファイルは前者ですが、完全なサニタイズには両方の脅威対策が必要です。

このテーマの重要性は、教育プラットフォームであるScratchを含むUGCサービスでの重大な脆弱性発見によって強調されており、不適切なセキュリティ実装の危険性を示しています。