Ruby向けCSSパーサーCrassに脆弱性、Sanitize・Loofah・rails-html-sanitizerのCSSの無害化を迂回されるおそれ。Loofahを上げても残る理由と確かめ方

CSSの中の不正なURLは、ブラウザが従う仕様（CSS Syntax Level 3）では、次の「)」で終わります。Crassは、エスケープしたバックスラッシュ（\\）の後の「)」を終わりと認めず、その先の「)」か入力の終わりまでを不正なURLの一部として読んでいました。[1]

ブラウザにとっては有効なCSSの部分を、Crassは不正なURLの中身として扱うため、CSSを検査して出力し直すサニタイザーがその部分を素通りさせます。Crassの作者は、サニタイザーが削除するはずの宣言、スタイルのルール、@importなどを通されるおそれがあり、画面に偽の要素を重ねる攻撃（クリックジャッキングやフィッシング）、外部の資源の読み込み、CSSを使った情報の持ち出しに使われうると説明しています。最近のブラウザでスクリプトが実行されることはないとしています。[1]

Crassの作者は、Crass単体では読み取りを誤るだけで、影響はCrassで判断してCSSを出力し直すサニタイザーに出るとしています。Chromiumで確かめた例として、次の使い方を挙げています。[1]

• Sanitize 7.0.0以下：Sanitize::CSS.propertiesとstyle属性、Sanitize::CSS.stylesheetと<style>要素
• Loofah：Loofah::HTML5::Scrub.scrub_css（style属性の無害化）
• rails-html-sanitizer：sanitize_cssと、styleを許可したsanitize

悪用には、サニタイザーが不正なURLを含むCSSを拒否していないことが必要です。Railsのsanitizeの初期設定で許可される属性にはstyleが入っていないため、attributes:やallowed_attributesでstyleを足しているかが、Railsアプリで見る点になります。[1][7]

11月1日に確かめた時点で、米CISAの悪用が確認された脆弱性の一覧（KEV、10月30日版）には載っていません。[2]

Crassの作者のアドバイザリは、問題を起こす文字の並び（\\の後の「)」）と、Chromiumで確かめたサニタイザーの例を書いていますが、攻撃のコード（PoC）は載っていません。公開されたPoCも確認できませんでした。今後30日に悪用される見込みの推定（EPSS）は0.35%です（10月31日時点）。深刻度は、Crassの作者とCVEの採番機関のGitHubの評価でCVSS 4.0の5.3（警告）です。NVDは評価を保留（Deferred）にしています。[1][3][4]

Crassは1系だけで、1.0.7以下のすべての版が対象です。1.0.8（10月22日公開）で直っています。Crassでは、6月26日公開の1.0.7で直ったサービス停止の4件（CVE-2026-61845〜61848）も公表されていて、1.0.8に上げれば合わせて直ります。[1][5][6]

推奨する版は、Crass・Sanitizeのアドバイザリと、RubyGems.orgで公開済みの版から出しました（11月1日確認）。更新の前に、各gemのリリースノートで変更点を確かめてください。[1][5][8]

1. Crassの版と、どのgemを通じて入っているかを確認します。

   ターミナル

   bundle info crass
   grep -n 'crass' Gemfile.lock

2. CSSを無害化している箇所を探します。style属性を許可したsanitizeや、sanitize_css・Sanitize::CSSがあるかを見ます。

   ターミナル

   grep -rnE 'sanitize_css|scrub_css|Sanitize::CSS|allowed_attributes|attributes:.*style' app lib config

3. Crassだけを上げます。Sanitizeを使っている場合は、Sanitizeも一緒に上げます（使っている行を実行します）。

   ターミナル

   bundle update --conservative crass
   bundle update --conservative sanitize crass

4. Gemfile.lockと、実際に読み込まれる版を確かめます。

   ターミナル

   bundle info crass
   bundle exec ruby -e 'require "crass"; puts Crass::VERSION'

5. bundler-auditを使っている場合は、データベースを更新してから検査します。

   ターミナル

   bundle exec bundle-audit check --update

Crassの作者は、更新以外に実用的な回避策はないとしています。そのうえで、次の方法は既知のきっかけを防げますが、正当なCSSまで拒否するおそれがあると書いています。[1]

• \\（エスケープしたバックスラッシュ）を含むCSSの入力を拒否する

Railsのビューのsanitizeはrails-html-sanitizerを使い、rails-html-sanitizerはLoofahを、LoofahはCrassを使います。そのため、多くのRailsアプリのGemfile.lockにはCrassが入っています。[7][8]

Loofahは11月1日時点の最新版2.25.2でも、Crassに「1.0.2以上・1.1未満」を求めるだけで、1.0.7以下も許します。rails-html-sanitizerの最新版1.7.1が求めるのもLoofah 2.25.2以上で、Crassの版には触れていません。bundle update railsやbundle update loofahだけでは、Crassが1.0.7以下のまま残ることがあります。Sanitizeを使っている場合は、7.0.1がCrass 1.0.8以上を必須にしているので、Sanitizeを上げればCrassも上がります。[8]

Sanitizeの作者は、Crass 1.0.8と同じ10月22日に、Sanitize 7.0.1を公開しました。7.0.1は、CSSの入れ子（CSS nesting）を使って許可していないプロパティやURLを通される別の問題（GHSA-wgw9-qhqg-8hv5、Sanitizeの評価でCVSS 4.0の5.3）を直しています。この問題はCrassを上げても直らないため、Sanitizeを使っている場合はSanitize自体も7.0.1に上げます。11月1日時点で、この件はSanitizeのリポジトリでだけ公表され、CVEは付いていません。[5]

脆弱性の公表・更新一覧で、Rubyの関連情報を調べることもできます。