Storybook: Fehlende Origin-Validierung in Storybook-Preview ermöglicht Code-Injektion über bösartige Websites

Zusammenfassung

Eine bösartige Website kann unter Umständen unbefugte Dateiänderungen im Projekt von Entwickelnden vornehmen, während ein betroffener Storybook-Entwicklungsserver läuft. Unter zusätzlichen Bedingungen könnte eine geänderte Datei von einer lokalen Laufzeitumgebung mit den Rechten der entwickelnden Person ausgeführt werden. Eine Ausnutzung in freier Wildbahn ist nicht bekannt.

Wer ist betroffen?

Betroffen sind Umgebungen, in denen ein Storybook-Entwicklungsserver in einer betroffenen Version ausgeführt wird.

Nicht betroffen sind Fälle, in denen:

• ein Entwicklungsserver betrieben wird, der niemals in einem Webbrowser geöffnet wird (z. B. Headless-Automatisierung, MCP-Clients)
• eine bereits erstellte (gebaute) Version von Storybook ausgeführt oder aufgerufen wird

Neuere Versionen von Chrome und Firefox fordern möglicherweise eine Berechtigung an, bevor sich eine Website mit einem localhost-Dienst verbinden kann. Dies verringert das Risiko, beseitigt es jedoch nicht. Vertrauen Sie Websites diese Berechtigung nicht an, wenn Sie ihnen nicht vertrauen.

Potenzielle Breaking Changes prüfen

Aufgrund der besonderen Natur der gemeldeten Schwachstellen hat das Storybook-Team beschlossen, das Standardverhalten von Storybook – einschließlich der Versionen 8 und 9 – für mehrere netzwerkbezogene Funktionen zu ändern, die für die Arbeitsabläufe der meisten Storybook-Nutzer nicht zwingend erforderlich sind. Sofern Teams auf die betroffenen Funktionen angewiesen sind, wurden Feature-Flags hinzugefügt, um bestimmte Sicherheitsaktualisierungen zur Unterstützung bestehender Workflows zu deaktivieren.

Bitte prüfen Sie die eingeführten Flags und die Konsequenzen ihrer Verwendung sorgfältig:

• Iframe-Einbettung über das Netzwerk ist standardmäßig deaktiviert: Storybook erlaubt es nicht mehr, den Manager oder die Preview als Iframe auf einer Website mit einem anderen Hostnamen einzubinden. Gebaute Versionen von Storybook sind davon nicht betroffen und können frei eingebunden werden. Wenn die Einbettung eines Storybook-Entwicklungsservers über eine separate Webanwendung erforderlich ist, führen Sie diese separate Anwendung auf localhost aus. Alternativ kann das Feature-Flag security.insecureRemoteIframeEmbed verwendet werden, um das Iframe-Embedding von beliebigen Origins wieder zu aktivieren.
• Der Preview-Iframe weist Nachrichten ab, die von einem unbekannten Host gesendet wurden: Sowohl die Storybook-Preview als auch der Manager beschränken jetzt den Ursprung (Origin) von Iframes und übergeordneten Fenstern, an die sie über die postMessage-API Nachrichten senden und von denen sie Nachrichten empfangen können. Standardmäßig akzeptiert Storybook im Entwicklungsmodus nur die Kommunikation mit dem eigenen Origin und anderen localhost-Diensten. Gebaute Storybooks akzeptieren weiterhin Kommunikation von unbekannten Origins. Falls ein Storybook-Addon oder eine Integration postMessage nutzt, um Story-Argumente zur Laufzeit zu aktualisieren, kontaktieren Sie das Storybook-Team bezüglich sicherer Alternativen. Storybook Composition basiert ebenfalls auf postMessage, weshalb ein zusammengestelltes Storybook auf einem anderen Origin nun nicht mehr geladen werden kann, es sei denn, es wurde gebaut. Das Feature-Flag security.insecureIframeMessaging deaktiviert diesen Schutz; es wird jedoch empfohlen, zusammengestellte Storybooks stattdessen zu bauen.
• Die Signatur des highlight-Events wurde geändert: Storybooks eigenes Accessibility-Addon nutzt das highlight-Event, um anklickbare Markierungen in der Vorschau einzufügen, die ein Menü mit einem Link zu Dokumentationsseiten öffnen. Die API für dieses Event war zu permissiv und konnte dazu missbraucht werden, beliebige Ereignisse auszulösen, einschließlich solcher, die vom lokalen Entwicklungsserver verarbeitet werden. Die API wurde überarbeitet, um Missbrauch zu verhindern. Neben dem Accessibility-Addon verwendet Chromatics Visual Tests-Addon diese API zur Verlinkung von Dokumentationen aus hervorgehobenen ignorierten Elementen. Aktualisieren Sie das Visual Tests-Addon auf Version 5.5.1 oder neuer, damit dieser Link weiterhin funktioniert. Da nach aktuellem Kenntnisstand keine weiteren Addons diese API nutzen, wurde kein Feature-Flag zur Wiederherstellung der alten API bereitgestellt.

Zeitlicher Ablauf der Offenlegung

Am 30th. September erhielt das Storybook-Team einen verantwortungsvollen Offenlegungsbericht, der zeigte, wie eine bösartige Website den Preview-Iframe eines Storybook-Entwicklungsservers einbetten und Ereignisse an den Entwicklungsserver auf dem Entwicklerrechner senden kann.

Diese Informationen wurden mit Ergebnissen eines laufenden Sicherheitsaudits kombiniert, um das Worst-Case-Szenario der gemeldeten Schwachstelle zusammen mit unabhängig entdeckten Schwachstellen zu ermitteln. Anschließend wurden Gegenmaßnahmen auf allen Ebenen ergriffen, die für dieses Szenario erforderlich sind. Dem Team liegen keine Belege für eine Ausnutzung in realen Storybook-Projekten vor. Der beschriebene Angriff setzt das erfolgreiche Ausnutzen einer Kette mehrerer Schwachstellen voraus, von denen einige dem Storybook-Team zuvor nicht gemeldet wurden.

Worst-Case-Angriffsszenario

Eine von Angreifenden kontrollierte Website kann mit der Preview eines laufenden Storybook-Entwicklungsservers interagieren. Durch Benutzerinteraktion kann veranlasst werden, dass der Entwicklungsserver unbefugte Änderungen an Story-Dateien vornimmt. Wenn eine bösartige Datei anschließend von einer lokalen Laufzeitumgebung ausgeführt wird, könnte dies zur Ausführung von beliebigem Code mit den Berechtigungen der entwickelnden Person führen.