OWASP ZAP の Zest シナリオを 4.4 に移行し、CI とローカルで実行できるようにする

[nanasess]

概要(Overview・Refs Issue)

Refs #7190

OWASP ZAP の Zest シナリオ (zap/scripts/*.zst) を 4.4 に移行し、.github/workflows/zaproxy.yml とローカルの両方で実行できるようにします。あわせて、4.4 で追加された機能のシナリオを追加します。

• 既存シナリオの 4.4 対応 (パスワードポリシー、_token の抽出、基本設定の追加項目、/help/guide、固定の ECCUBE-CSRF-TOKEN など)
• 自動実行の仕組み (front_login コンテキスト、セッションの保持、thread_per_host、Path Traversal の誤検知の除外)
• CI の修正 (APP_ENV=prod、バンドル版プラグインの 4.4 版、再生失敗の検出、ポリシーとターゲットの指定、ZAP のイメージを公式の ghcr.io/zaproxy/zaproxy:stable に変更)
• ローカル実行スクリプト (zap/local/) と CI の共通スクリプト (zap/bin/)、zap/README.md
• 4.4 の新機能のシナリオ: 返品・返金申請 (マイページ・管理画面)、FAQ、Cookie 同意、購入手続き中のお届け先の編集・削除、FAQ・定休日カレンダーのブロック
• 網羅性を調べる仕組み: シナリオが通らないルートの一覧 (zap/bin/coverage.sh)、リクエストごとに攻撃が届いた件数と応答の内訳 (zap/bin/attack_counts.sh、attacks.tsv)
• multipart/form-data のリクエストに攻撃が届くようにするシナリオの修正と、その検査 (zap/bin/lint_zst.sh。CI の Prepare matrix で実行)
• スキャンのポリシーから、検出の見込みが無く時間だけかかる Cross Site Scripting (DOM Based) (ルール 40026) を外す (EC-CUBE ポリシー)
• スキャン用のパッチの補助モード (zap/patches/、workflow_dispatch の patches。既定では当てない)
• 能動スキャンの攻撃が画面の処理まで届いていなかったシナリオの修正 (商品登録・会員登録・受注登録・メルマガ配信・パスワード再設定・返品・返金申請・商品レビュー・おすすめ商品) と、Smoke での入力エラーの画面の検出 (zap/scripts/report_form_errors.js)
• シナリオが通らなかったルートの追加 (通らないルートを 63 本から 38 本に。残りはエージェントコマース・eccube-api4・2 段階認証とセキュリティ設定)
• メールの受信を mailcatcher から mailpit に替える (docker-compose.yml の mailcatcher を mailpit に置き換える #7205)

方針(Policy)

• 既存のシナリオは録画し直さず、修正して移行しました。パスワードは E2E と同じ EccubeE2ePassword1 にそろえています。
• EC-CUBE 本体 (src/・app/) には変更を加えていません。zap/ 以外の変更は、ワークフローと ZAP 用の Docker Compose の設定と、chore: docker-compose.yml の mailcatcher を mailpit に置き換える #7207 (docker-compose.yml などの mailcatcher を mailpit に置き換える) の cherry-pick です。chore: docker-compose.yml の mailcatcher を mailpit に置き換える #7207 が先にマージされれば、その分の差分は消えます。
• CI とローカルは同じスクリプト (zap/bin/) を使います。ワークフローはコンテナの起動と成果物のアップロードだけを受け持ちます。
• ターゲットの一覧は zap/targets.json に置き、CI のマトリクスとローカル実行の両方がこれを読みます。
• バンドル版プラグインのうち、公開されていない 1 本は CI から取得できないため導入しません。これを使うシナリオはありません。

実装に関する補足(Appendix)

• 結果の判定: ZAP は Zest のアサーションが失敗しても自動化プランを成功として扱います。そのためログから判定し、High のアラートかジョブのエラーがあれば失敗にしています。再生の失敗は、Smoke ポリシー (全ルール OFF) ではエラー、Sequence ポリシーでは警告として扱います (zap/bin/check_results.sh)。
• Path Traversal (ルール 6): 比較用の存在しないファイル名 (38 文字) が入力欄の文字数上限でバリデーションエラーになるだけで High が出ます。根拠 (evidence) の無いものは High の判定から外し、レポートには残します。検証用に仕込んだ実際のパストラバーサルは根拠付きで検出され、見落とさないことを確認しました。
• APP_ENV: docker-compose.yml に APP_ENV: "dev" が直書きされていて、これまで CI でも dev で動いていました。docker-compose.owaspzap.ci.yml で prod に上書きしています。
• front_new_item: 外部サイトと _wdt へのリクエストを削除し、作成から削除までを一続きに組み直しました。コンテキストは default のままで、シナリオの中で管理画面にログインします。
• スキャン中の再生失敗: 前の手順への攻撃で状態が変わり、後の手順の再生が失敗するケースは許容します。既知のものは zap/README.md の「既知の再生の失敗」に記載しました。
• 定期削除の猶予: delete_data.sh はスキャンで作られたデータを定期的に消します。タグは作成日時を持たないため 2 周前 (10 秒以上前) からあった ID だけを、支払方法とテンプレートは作成の 1 分後に消すようにしました。作成直後に消すと、シナリオが後の手順で編集・削除する前に消えて 404 になっていたためです。
• スキャン用のパッチ: doc4 の「テストが止まらないようにするための設定」を 4.4 向けに作り直し、パッチの有無で attacks.tsv を比べました。効果があったのはお届け先の登録上限と削除を無効にするものだけだったため、これだけを収録しています。評価の詳細は ZAP: zst シナリオを 4.4 に移行し、4.4 の新機能をスキャン対象に加える #7190 に記載しています。
• multipart/form-data: ZAP は Content-Type を小文字にしてから boundary を取り出すため、ブラウザが付ける大文字を含む boundary (----WebKitFormBoundary...) では本文を分割できず、能動スキャンの攻撃が 1 件も送られていませんでした (各スキャンルールが IndexOutOfBoundsException で中断し、ZAP の内部ログにだけ出ます)。シナリオの boundary を小文字にし、boundary の行の前の改行を CRLF に揃えました。
• DOM Based XSS のルール (40026): ブラウザで URL の # 以降とクエリ文字列に値を入れて alert() の実行を見るルールで、POST の本文やシナリオのステップの状態は扱いません。EC-CUBE の JavaScript は location.hash / location.search を読んでおらず、全ターゲットのスキャンで 1 件も検出していません。一方で 1 ステップが ZAP の待ち時間の上限 (600 秒) に達することがあり、上限後もスレッドが止まらず次のルールの所要時間まで延ばしていました。同梱の Sequence ポリシーは読み取り専用のため、このルールだけを OFF にした EC-CUBE ポリシーを prepare_zap.sh で作ります。同梱のポリシーの <locked> (列挙していないルールを無効にする) は残しています。外すと同梱に無いルールまで有効になるためです。
• 入力エラーの画面の検出: ZAP は再生の成否を状態コードだけで判定するため、入力エラーの画面 (200) を成功とみなし、後続の画面に攻撃が届いていないことに気づけません。Smoke では httpsender スクリプトで、入力エラーの画面が返った POST を Form error: としてログに出し、再生の失敗に数えます。再生と攻撃は ZAP の中で区別できない (どちらも能動スキャンのリクエスト) ため、Smoke に限っています。入力エラーを意図したリクエストには X-ZAP-Expect-Form-Error ヘッダーを付けて対象から外します。
• パスワード再設定: 直前の POST /forgot への攻撃が再設定キーを作り直すため、宛先で絞った最新のメールからキーを読みます (mailpit の /view/latest.txt?query=to:<宛先>)。再設定の完了でキーが消えるため、攻撃を受ける再設定の POST は確認用のパスワードを一致させずに送ります。
• 削除のリクエスト: パラメータが _token と _method だけで、パスの ID は ZAP の既定では攻撃されません。URL のパスを攻撃の対象に加えても、ID の \d+ の制約でルーティングが 404 を返すうえ、固定の文字列のパス要素への攻撃でリクエストが増える (entry で 5,291 件から 8,564 件) ため、加えていません。
• 返品・返金申請: 発送済みの受注だけが対象のため、before_script で会員の作成、購入、発送済みへの変更を行います。admin コンテキストで会員としてログインするとセッション ID が変わり管理画面が未ログイン扱いになるため、管理画面にログインし直しています。

テスト（Test)

• ローカル (zap/local/、APP_ENV=prod、バンドル版プラグイン導入済み):
  • Smoke で全ターゲットを再生しました。失敗は plugin_coupon_guest_shopping の 1 本だけで、EC-CUBE 4.4 対応: 削除される OrderItem::setTaxRuleId() の呼び出しを修正する coupon-plugin#198 の不具合によるものです。
  • Sequence で全ターゲットをスキャンし、シナリオの再生・レポートの出力・所要時間を確認しました。
  • 今回追加したシナリオは、Smoke と Sequence の両方で確認しました。返品・返金申請とお届け先の編集・削除は、処理が DB に反映されていることも確かめています。
• fork の workflow_dispatch:
  • 共通スクリプト化した後の Smoke: 3 ターゲットが成功。plugin_coupon_guest_shopping は上記の不具合どおり失敗しました。
  • 追加したシナリオ (FAQ・カレンダー・Cookie 同意・お届け先・返品返金・ブロック) の Smoke: すべて成功しました。
  • 全ターゲットの Smoke: 72 ターゲット中、失敗は plugin_coupon_guest_shopping (上記の不具合) と admin_payment の 2 本でした。admin_payment は支払方法の定期削除との競合で、猶予を延ばした後に再実行して成功しました。
  • ZAP のイメージを公式の stable に切り替えた後の全ターゲットの Smoke: 失敗は plugin_coupon_guest_shopping だけでした。
  • fix: EC-CUBE 4.4 で削除される OrderItem::setTaxRuleId() の呼び出しを除去 coupon-plugin#199 (scrutinizerがtravisでのテストが遅くて落ちてしまうのでパラメーターを調整 #198 の修正) のマージ後、plugin_coupon_.* の Smoke: すべて成功しました。ローカルの Sequence でも購入確定まで再生できています。
  • multipart の修正後、対象の 10 ターゲットの Smoke: lint_zst.sh を含めすべて成功しました。
  • 入力エラーの検出と mailpit への切り替えの後、修正した 3 ターゲット (entry・plugin_mailmagazine_send・admin_order_mail) の Smoke: すべて成功し、Form error: も出ませんでした。
  • ルートを追加・修正した 18 ターゲットの Smoke: すべて成功しました。
• multipart の修正の効果 (ローカルの Sequence): multipart のリクエスト 14 件で、EC-CUBE が受けたリクエストが 1〜3 件から 425〜4,123 件に増えました (admin_content_file は 2 時間で打ち切った時点で 3 件から 1,840 件)。新たに見つかった 500 は 想定外の入力値で 500 になる箇所が管理画面・フロントに多数ある (入力値の型・存在の未検証) #7192 に追記しました。
• DOM Based XSS のルールを外した効果 (ローカルの Sequence): plugin_mailmagazine_send は 3 時間 3 分から 18 分、admin_payment は 11 分から 2 分 20 秒になりました。攻撃の件数はほぼ同じで、動いたルールは同梱の Sequence からこのルールを除いた 18 本であることを ZAP のログで確かめました。
• 攻撃が届くようにした効果 (ローカルの Sequence): admin_product_edit の再生の失敗が 6/11 から 0/11 になり、商品登録への攻撃の 500 が 676/2,079 件から 0 件になりました。パスワード再設定の POST への攻撃 331 件は、すべて 4xx だったものがすべて 2xx になりました。
• 検知の検証として、検証用のブランチで本体に脆弱性を仕込み、パストラバーサル・SQL インジェクション・反射型 XSS が検出されることを確かめました。仕込んだ変更はマージ対象に含めていません。結果は ZAP: zst シナリオを 4.4 に移行し、4.4 の新機能をスキャン対象に加える #7190 に記載しています。

相談（Discussion）

• CSRF トークン検証の欠落は ZAP では検出できず、テスト環境では CSRF のトークン管理がモックに差し替えられているため、PHPUnit でも検出できません。ZAP: zst シナリオを 4.4 に移行し、4.4 の新機能をスキャン対象に加える #7190 の残タスクとして、別の issue / PR で扱う想定です。

マイナーバージョン互換性保持のための制限事項チェックリスト

• 既存機能の仕様変更はありません
• フックポイントの呼び出しタイミングの変更はありません
• フックポイントのパラメータの削除・データ型の変更はありません
• twigファイルに渡しているパラメータの削除・データ型の変更はありません
• Serviceクラスの公開関数の、引数の削除・データ型の変更はありません
• 入出力ファイル(CSVなど)のフォーマット変更はありません

レビュワー確認項目

• 動作確認
• コードレビュー
• E2E/Unit テスト確認(テストの追加・変更が必要かどうか)
• 互換性が保持されているか
• セキュリティ上の問題がないか
  • 権限を超えた操作が可能にならないか
  • 不要なファイルアップロードがないか
  • 外部へ公開されるファイルや機能の追加ではないか
  • テンプレートでのエスケープ漏れがないか

🤖 Generated with Claude Code

[coderabbitai]

Important

Draft PR not reviewed

Draft PRs are not automatically reviewed by default.

• Trigger a manual review

To automatically review draft PRs, update your CodeRabbit configuration:

reviews:
  auto_review:
    drafts: true

• Autopilot · Keep fixing CodeRabbit findings and required CI, and resolving merge conflicts

Autopilot is currently an internal CodeRabbit preview.

---

Thanks for using CodeRabbit! It's free for OSS, and your support helps us grow. If you like it, consider giving us a shout-out.

❤️ Share

• X
• Mastodon
• Reddit
• LinkedIn

_{Comment @coderabbitai help to get the list of available commands.}

[codecov]

Codecov Report

✅ All modified and coverable lines are covered by tests.
✅ Project coverage is 78.43%. Comparing base (3d61c11) to head (f248399).
⚠️ Report is 25 commits behind head on 4.4.

Additional details and impacted files

@@            Coverage Diff             @@
##              4.4    #7196      +/-   ##
==========================================
- Coverage   78.47%   78.43%   -0.05%     
==========================================
  Files         651      651              
  Lines       31391    31384       -7     
==========================================
- Hits        24635    24615      -20     
- Misses       6756     6769      +13     

Flag	Coverage Δ
Unit	78.43% <ø> (-0.05%)	⬇️

Flags with carried forward coverage won't be shown. Click here to find out more.

☔ View full report in Codecov by Harness.
📢 Have feedback on the report? Share it here.

🚀 New features to boost your workflow:

• ❄️ Test Analytics: Detect flaky tests, report on failures, and find test suite problems.
• 📦 JS Bundle Analysis: Save yourself from yourself by tracking and limiting bundle sizes in JS merges.