marked における正規表現によるサービス拒否 (Regular Expression Denial of Service)

この脆弱性を悪用されると、攻撃者は特別に細工された入力をmarkedライブラリに送り込むことで、正規表現エンジンが過剰な計算リソースを消費し、サービス拒否状態を引き起こす可能性があります。攻撃者は、ウェブアプリケーションがmarkedライブラリを使用してMarkdownコンテンツを処理する場合、アプリケーション全体をダウンさせることが可能です。この脆弱性は、特に高負荷な環境や、ユーザーが生成したMarkdownコンテンツを処理するアプリケーションにおいて、重大な影響を与える可能性があります。

Applications built with Node.js that utilize the Marked.js library for Markdown rendering are at risk. This includes web applications, documentation generators, and any other tools that process Markdown content. Specifically, projects relying on older versions of Marked.js, or those that haven't performed recent dependency updates, are particularly vulnerable.

• nodejs / server:

  npm list marked

• nodejs / server:

  npm audit marked

• nodejs / server: Check package.json for dependencies on marked versions prior to 0.3.4. • nodejs / server: Review application logs for unusually high CPU usage or crashes when processing Markdown content.

1. 2015-07-14Discovery

   discovery

2. 2017-10-24Disclosure

   disclosure

3. 2017-10-24Patch

   patch

1. 公開日2017-10-24
2. 更新日2024-02-09
3. EPSS 更新日2026-04-02

この脆弱性への最も効果的な対策は、markedライブラリをバージョン0.3.4以降にアップデートすることです。アップデートがすぐに利用できない場合、入力の検証とサニタイズを実施し、悪意のある正規表現パターンが含まれる可能性のある入力をブロックすることを検討してください。WAF（Web Application Firewall）を使用している場合は、ReDoS攻撃を検出およびブロックするようにルールを設定することも有効です。アップデート後、markedライブラリのバージョンを確認し、脆弱性が修正されていることを確認してください。