「Node.js」にアップデート - 複数の脆弱性に対応

「Node.js」の開発チームは現地時間2025年7月15日、脆弱性を修正するセキュリティアップデートをリリースした。

同日アドバイザリを公開し、バージョンによって影響は異なるが、2件の脆弱性について明らかにしたもの。

具体的には、「CON」「PRN」「AUX」などのWindowsにおける予約済みデバイス名を悪用し、Windows環境の一部APIで「パストラバーサル対策」をバイパスできる「CVE-2025-27210」が確認された。以前修正した「CVE-2025-23084」への対応が不完全だったことに起因する脆弱性だという。

一方「CVE-2025-27209」は、「同24」ブランチに搭載されたスクリプトエンジン「V8」に起因する「HashDoS」の脆弱性。ハッシュのシードを知らない場合もハッシュ衝突を引き起こし、サービス拒否を生じさせることが可能となる。

「V8」の開発チームでは、セキュリティの問題として扱われていないが、「Node.js」では現実的な攻撃シナリオのリスクを踏まえ、脆弱性として対応したとしている。

開発チームでは、いずれも重要度を4段階中、上から2番目にあたる「高（High）」とレーティング。脆弱性を解消した「同24.4.1」「同22.17.1」「同20.19.4」をリリースした。

（Security NEXT - 2025/07/16 ） ツイート

PR

関連記事

「PHP」にあらたな脆弱性、対象環境は限定的 - 次回更新時に修正
MSが定例外パッチ、「.NET」脆弱性を修正 - Brotli問題などに対応
「Nextcloud」組込ツールや「Arista VCO」の脆弱性などに注意喚起 - 米当局
ネットワーク統合管理製品「Arista VCO」に深刻な脆弱性 - すでに悪用も
「Apache Tomcat」に脆弱性8件 - 「クリティカル」評価の脆弱性も
Android版「Firefox」に暗号関連の脆弱性 - 修正版が公開
「Splunk Enterprise」に複数の脆弱性 - 修正版が公開
「PHP」脆弱性、2024年に兆候把握も修正難航 - 公開前に混乱
「PHP」に2件の深刻なRCE脆弱性 - アップデートを公開
「Node.js」に脆弱性10件 - Brotli圧縮データの処理でRCEのおそれ