is.js は汎用チェックライブラリです。バージョン 0.9.0 以前には、Regular Expression Denial of Service (ReDoS) の脆弱性を持つ正規表現が 1 つ以上含まれています。is.js は、gist からコピーされた正規表現を使用して -

CVE-2020-26302 は、汎用的なチェックライブラリである is.js に影響を与えます。バージョン 0.9.0 以前には、URL を検証するために使用される非効率な正規表現が原因で、正規表現によるサービス拒否 (ReDoS) の脆弱性が含まれています。この正規表現は gist からコピーされたもので、悪意のある文字列を処理する際に無限ループに陥る可能性があり、サーバーのリソースを過剰に消費し、サービスの中断につながる可能性があります。この脆弱性の深刻度は CVSS スケールで 7.5 と評価されており、中程度のリスクを示しています。is.js からの公式パッチがないことは状況を悪化させ、代替の軽減策を必要とします。

Applications built using is.js, particularly those that handle user-supplied URLs without proper validation, are at risk. Node.js projects relying on this library are especially vulnerable. Shared hosting environments where multiple applications share the same server resources could experience broader impact from a successful attack.

• nodejs: Monitor CPU usage spikes when validating URLs. Use ps or top to identify processes consuming excessive CPU.

ps aux | grep is.js

• generic web: Examine access logs for unusual patterns of URL requests. Look for URLs containing complex or unusual characters.

grep 'complex_url_pattern' /var/log/apache2/access.log

1. 2020-05-12Discovery

   discovery

2. 2022-12-23Disclosure

   disclosure

1. 予約済み2020-10-01
2. 公開日2022-12-23
3. 更新日2025-04-14
4. EPSS 更新日2026-04-02

CVE-2020-26302 の is.js からの公式パッチがないため、主な軽減策は 0.9.1 より前のバージョンにアップグレードするか、実現可能であれば is.js の使用を完全に削除することです。アップグレードが不可能な場合は、is.js に URL を渡す前に URL を検証するための堅牢な入力フィルターを実装することをお勧めします。このフィルターは、疑わしいパターンや異常な文字を含む URL をすべて拒否する必要があります。さらに、正規表現の実行時間を制限することで、ReDoS 攻撃を防ぐのに役立ちますが、これによりライブラリの機能が影響を受ける可能性があります。サーバーの CPU およびメモリ使用量を監視することは、潜在的な ReDoS 攻撃を検出するために重要です。