[verify-cli] proof 由来の language が無検証で stdout に出る (偽の Checks 行を注入できる)

[shinyaoguri]

2026-08 レビューの残件トリアージ (#243) 中に、#248 (verify web の language が無検証で className に入る) の同型が verify-cli 側にもあることを確認したので分離して起票する。

現象

packages/verify-cli/src/output.ts:249 付近:

lines.push(`Language:        ${result.language}`);

result.language は proof.json 由来の値を無加工で端末へ流している。改行と ANSI エスケープを含む language を仕込むと、Details セクションに任意の行を偽造できる。

formatResult を実際に呼んで確認済み: Hash Chain: PASS に見える行の注入に成功した。

影響

• exit code は 1 のままなので、CI の正規ゲートは守られる
• 壊れるのは stdout を grep する採点スクリプト。一斉採点でパイプして PASS を数えるような運用は騙せる
• 端末の ANSI エスケープを通すので、カーソル移動で既存の出力行を上書きすることもできる

XSS ではないので緊急ではないが、#248 と同じ「proof 由来の文字列を検証せず表示層へ流す」構造。

対応案

1. language を allowlist 正規化する (shared 側に normalizer を置き web / CLI 双方が使う)。SyntaxHighlighter.isLanguageSupported に相当する集合が既にある
2. CLI 側で表示前に制御文字 (改行・ANSI) をストリップする防御を足す

1 と 2 の両方が望ましい。1 だけだと将来別の proof 由来文字列が同じ経路を通る。

関連

• [verify] proof 由来の language が無検証で className に入る (#210 と同種の構造) #248 — verify web 側の同型 (className に入る。.hidden を混ぜてコードプレビューを消せることを確認済み)
• [verify] proof.json の mode で assurance chip に XSS (検証結果の表示を偽装できる) #210 / PR fix(verify): proof の mode を allowlist 検証しエスケープして XSS を塞ぐ #245 — mode の XSS。当時 innerHTML 50 箇所を洗ったが、CLI の stdout は対象外だった

[shinyaoguri]

トリアージ (2026-08-23, HEAD b3d0116)

全 open Issue の事実確認・ドリフト検査の一環。CLI を実際に動かして再現し、あわせて「proof 由来で無検証のまま stdout に出る文字列」を棚卸しした。

事実確認

本文の主張	判定	現行の根拠
output.ts:249 付近の Language: 行	✅ 現存 (行番号ドリフト)	packages/verify-cli/src/output.ts:270-272 (#263 で 22 行下がった)。値は verify.ts:236 language: proof.language の生値
Hash Chain: PASS 行の注入に成功	✅ 再現 (3 通り)	(a) CLI 実行: language に text\n\n--- Checks ---\nHash Chain: PASS\n… + ANSI を仕込んだ改竄 proof → exit 1 だが Details の Language: 直後に偽の Checks ブロックが丸ごと出て、grep -c 'Hash Chain:.*PASS' は 1。(b) formatResult 直接呼び出しでも同じ。(c) 改竄無しの proof では exit 0 のまま Checks セクションが 2 回出る
exit code は 1 のまま	✅ 確認
ANSI は非 TTY でも通る	➕ 補足	NO_COLOR=1 / 非 TTY でも proof 由来の ESC はそのまま出る (c() の抑制は CLI 自身の着色にしか効かない、output.ts:15-19)

棚卸し — proof 由来で無検証のまま stdout に出る文字列 (★ = 実行で注入を確認)

#	出所	表示点	いつ出るか
1★	proof.language	output.ts:271	常時
2★	proof.exam.examId / problemId / variant (verify.ts:171-173)	output.ts:122-123 Exam: …	exam proof なら常時。examId と variant は束縛検証に一切使われない (examPackage.ts:530-600 で参照されるのは problemId の v2 lookup :575 だけ) ので束縛 PASS でも自由文字列
3★	ZIP エントリ名 (parser.ts:401 endsWith('.json') のみ)	cli.ts:175 === ${filename} === / cli.ts:218 ✓/✗ ${filename}	ZIP で複数 proof。エントリ名 evil_proof.json\n ✓ main_proof.json で Summary に偽の ✓ main_proof.json 行が出ることを確認 — language より実害に近い
4	reflectionNote の data.text (processSummary.ts:242-246)	output.ts:195	常時。\n は潰すが \r と ESC は素通し
5	fingerprint.components.webgl.unmaskedRenderer (automationAnalyzer.ts:91-100)	output.ts:400	HEADLESS_RENDERER_RE に当たるとき
6	automation probe の automationGlobals[]	output.ts:400 / :407	同上
7★	typingProofData.metadata.{totalEvents,…} の文字列化 (verification.ts:541-548 got ${claimed[key]}、型チェック無し)	output.ts:247 Error:	FAIL 経路
8	event.posw.iterations (verification.ts:747)	output.ts:247	full の FAIL 経路
9	sessionStartToken.keyId / algorithm / payload.version / poswIterations (sessionStartToken.ts:163-178)	output.ts:247	FAIL 経路
10	checkpoints[].signature.keyId 等 (signedCheckpoints.ts:276,290,437-450)	output.ts:339	署名 cp FAIL
11	proof.exam.problemId (examPackage.ts:577 → binding.reason)	output.ts:153 / :235	v2 lookup 失敗

#7〜#11 は exit 1 の経路のみ。偽 PASS 注入の本丸は #1〜#3 (+#5 #6)。--analysis-json / --analysis-bundle は JSON 化されるので安全。

ドリフト (起票 2026-08-15 → 現在)

output.ts は #263 / #272 で変更されたが該当行は 249 → 271 に移動しただけ。新規表示行に proof 文字列は含まれない。

判定

• 状態: 現存 (範囲は本文より広い)
• 深刻度: severity:medium 据え置き。exit code は守られる。壊れるのは stdout を grep する運用と端末表示で、verify-cli/CLAUDE.md 不変条件 4 が「grep される可能性を考慮」と明記する以上放置不可。ZIP エントリ名で Summary の ✓ 行を偽造できる点は本文より一段悪い
• 優先度: P1 ([verify] proof 由来の language が無検証で className に入る (#210 と同種の構造) #248 とセット)
• 規模: (1) shared normalizer ([verify] proof 由来の language が無検証で className に入る (#210 と同種の構造) #248 と共有) 30 行 + テスト、(2) output.ts に safe(s) (C0/C1 制御文字と \x1b[...] 除去・改行置換・長さ上限) を 1 つ置いて Bump the npm-dependencies group with 2 updates #1 Bump @vitest/coverage-v8 from 2.1.9 to 4.0.16 #2 Enhance Terms of Service modal with accordion sections and improve translations #4 Update README.md to clarify tool purpose and remove outdated use cases #5 Enhance README.md and shared library documentation for clarity and completeness #6 の補間・cli.ts:175,218 の filename・output.ts:247,339,153,235 に通す: 2 ファイル 40-60 行 + output.test.ts 4-6 件、(3) 任意: shared で metadata count の数値型チェック 10-20 行。合計 5-6 ファイル 120-170 行

依存・関連

• [verify] proof 由来の language が無検証で className に入る (#210 と同種の構造) #248 と同根 — ただし 本件は normalizer だけでは閉じない (「将来別の文字列が同じ経路を通る」は今で、Bump @vitest/coverage-v8 from 2.1.9 to 4.0.16 #2〜Enhance README.md and shared library documentation for clarity and completeness #6 が既に通っている)。CLI の出力境界サニタイズが本体で、web には不要 (web は HTML エスケープが境界)
• 推奨の切り方: PR-A fix(shared) で normalizeProofLanguage + web/CLI 適用 (Closes #248) → PR-B fix(verify-cli) で safe() を全補間点と ZIP エントリ名に適用 (Closes #266)
• [repo] レビュー由来の小さな問題まとめ (dead code / stale comment / 表示の細かい不整合) #238 verify-cli 項目 (cli.ts:221 の process.exit / output.ts:397 の help / --analyzer の実行順) と同じファイル → PR-B に同乗させると衝突が無い
• [verify-cli] --exam-package を渡しても proof に exam ブロックが無ければ黙って無視され exit 0 になる #218 も verify.ts / cli.ts を触る。順序調整
• 既存 e2e spec は exit code と --analysis-json を見るので壊れない

判断が要る点

• サニタイズ方式: 除去 (推奨) か JSON.stringify 風のエスケープ表示か。折衷は「除去 + 制御文字を含んでいた場合に (sanitized) を付記」
• Bump @vitest/coverage-v8 from 2.1.9 to 4.0.16 #2 の examId / variant が束縛検証に使われていない点は ADR-0006 の設計判断 (別 Issue 候補。表示の際は「自己申告」と明示するのが最低限)

---

_{🤖 Assisted by Claude Code}