「Node.js」に複数の脆弱性 - アップデートがリリース

「Node.js」の開発チームは、複数の脆弱性に対処したセキュリティアップデートをリリースした。利用者にアップデートを呼びかけている。

事前予告のとおり、現地時間2025年1月21日にセキュリティアドバイザリを公開し、3件の脆弱性について明らかにしたもの。

「CVE-2025-23083」は、内部ワーカースレッドが漏洩し、ユーティリティを用いることでワーカースレッドの作成ごとにイベントフックが可能となる脆弱性。権限をバイパスしてワーカーインスタンスを取得したり、コンストラクターを取得して再構成し、悪用できるという。

くわえて、重要度が1段階低い「中（Medium）」とされる脆弱性2件を修正した。「HTTP/2」の処理でメモリリークが生じ、DoS攻撃に悪用されるおそれがある脆弱性「CVE-2025-23085」や、Windows環境におけるパス操作の脆弱性「CVE-2025-23084」に対応している。

開発チームでは、これら脆弱性を解消した「同23.6.1」「同22.13.1」「同20.18.2」「同18.20.6」をリリース。利用者に対してアップデートを呼びかけている。

またこれら脆弱性とは別に、サポートが終了した「同21」「同19」「同17」に対し、それぞれ「CVE-2025-23089」「CVE-2025-23088」「CVE-2025-23087」が割り当てられたことを明らかにした。脆弱性の修正予定はないとして、注意喚起を行っている。

（Security NEXT - 2025/01/22 ）ツイート