「Node.js」にアップデート - 複数の脆弱性に対応

「Node.js」の開発チームは現地時間2025年7月15日、脆弱性を修正するセキュリティアップデートをリリースした。

同日アドバイザリを公開し、バージョンによって影響は異なるが、2件の脆弱性について明らかにしたもの。

具体的には、「CON」「PRN」「AUX」などのWindowsにおける予約済みデバイス名を悪用し、Windows環境の一部APIで「パストラバーサル対策」をバイパスできる「CVE-2025-27210」が確認された。以前修正した「CVE-2025-23084」への対応が不完全だったことに起因する脆弱性だという。

一方「CVE-2025-27209」は、「同24」ブランチに搭載されたスクリプトエンジン「V8」に起因する「HashDoS」の脆弱性。ハッシュのシードを知らない場合もハッシュ衝突を引き起こし、サービス拒否を生じさせることが可能となる。

「V8」の開発チームでは、セキュリティの問題として扱われていないが、「Node.js」では現実的な攻撃シナリオのリスクを踏まえ、脆弱性として対応したとしている。

開発チームでは、いずれも重要度を4段階中、上から2番目にあたる「高（High）」とレーティング。脆弱性を解消した「同24.4.1」「同22.17.1」「同20.19.4」をリリースした。

（Security NEXT - 2025/07/16 ） ツイート

PR

関連記事

ファイルサーバ「goshs」に認証回避など複数脆弱性 - 修正版を公開
「Apache ActiveMQ」にRCE脆弱性 - 悪用が確認され「KEV」にも登録
「Cisco ISE」に複数の深刻な脆弱性 - 一部修正パッチを準備中
「Ivanti Neurons for ITSM」に脆弱性 - アップデートを提供
SAP、月例セキュリティアドバイザリ19件を公開 - 「クリティカル」も
「Cisco Webex」のSSO連携に深刻な脆弱性 - 証明書の更新を
「Chrome」が脆弱性31件を修正 - 5件は「クリティカル」
「Adobe Acrobat/Reader」がわずか3日で再更新 - 深刻な脆弱性を修正
「Adobe Acrobat/Reader」にゼロデイ脆弱性 - 悪用を確認、緊急更新を
米当局、「SharePoint Server」「Excel」の脆弱性悪用に注意喚起