依存ライブラリの脆弱性（SCA）

自分が書いたコードだけでなく、使っている外部ライブラリの脆弱性も攻撃対象になる （OWASP Top 10 A06）。2017年の Apache Struts2 の事件が典型。依存関係を検査する仕組みが SCA（Software Composition Analysis）。npm なら npm audit。

npm audit の出力例（読み方）

# npm audit report

lodash  <4.17.21
Severity: high
Prototype Pollution - https://github.com/advisories/GHSA-xxxx
fix available via `npm audit fix`
node_modules/lodash

axios  0.21.0 - 0.21.1
Severity: moderate
Server-Side Request Forgery - https://github.com/advisories/GHSA-yyyy
fix available via `npm audit fix --force`

2 vulnerabilities (1 moderate, 1 high)

• パッケージ名とバージョン範囲: どの依存のどの版が危ないか
• Severity: 深刻度（CVSSに対応。critical/high/moderate/low）
• 脆弱性の種類とアドバイザリのリンク: 何が起きるか
• fix available: 修正版が出ているか（npm audit fix）

実務での対策

• ロックファイル（package-lock.json）でバージョンを固定・記録
• Dependabot 等で更新を自動検知し、PRで上げてもらう（CIで回す＝シフトレフト）
• EOL（サポート終了）のライブラリ・言語・フレームワークを使い続けない
• typosquatting（似た名前の偽パッケージ）に注意。名前をよく確認する
• 脆弱性情報を日常的に収集し、公開されたら速やかに更新する