uglify-jsにおける正規表現によるサービス拒否

このDoS脆弱性を悪用されると、攻撃者はuglify-jsを使用するアプリケーションやシステムを容易に利用不能にすることができます。攻撃者は、大量のリクエストを送信したり、特別に細工された入力を提供することで、正規表現エンジンを過負荷状態にし、サーバーのリソースを枯渇させます。その結果、アプリケーションの応答が遅延したり、完全に停止したりする可能性があります。この脆弱性は、uglify-jsを依存関係として使用するNode.jsプロジェクトに影響を与え、広範囲な影響を及ぼす可能性があります。攻撃者は、システムの可用性を低下させ、サービスの中断を引き起こす可能性があります。

Node.js developers and DevOps teams using uglify-js in their projects are at risk. Specifically, projects using older versions of uglify-js (prior to 2.6.0) and those that do not have robust input validation mechanisms are particularly vulnerable. Applications that rely on uglify-js for minifying JavaScript code in production environments are also at increased risk.

• nodejs / server:

  ps aux | grep uglify-js | grep -v grep | awk '{print $2}' | xargs -n 1 pmap -x | grep -q 'regex' # Check for excessive regex usage

• nodejs / server:

  journalctl -u nodejs | grep -i 'uglify-js' | grep -i 'error' # Look for errors related to uglify-js

• generic web: Inspect Node.js application logs for unusual CPU spikes or memory usage correlated with uglify-js processing.

1. 2015-00-00Discovery

   discovery

2. 2017-10-24Disclosure

   disclosure

3. 2017-10-24Patch

   patch

1. 公開日2017-10-24
2. 更新日2023-11-08
3. EPSS 更新日2026-04-02

この脆弱性への最良の対応策は、uglify-jsをバージョン2.6.0以降にアップデートすることです。もしアップデートがすぐに実行できない場合は、入力の検証を強化し、parse()メソッドに渡されるデータのサイズと複雑さを制限することで、攻撃のリスクを軽減できます。WAF（Web Application Firewall）を導入し、悪意のある正規表現パターンを検出してブロックすることも有効です。また、Node.jsアプリケーションのログを監視し、異常なCPU使用率やメモリ消費量などの兆候を検出することも重要です。アップデート後、uglify-jsのバージョンを確認し、脆弱性が修正されていることを確認してください。