semver-regex 正規表現によるサービス拒否 (ReDOS)

この脆弱性は、攻撃者が悪意のあるバージョンのsemver文字列をアプリケーションに送信することで、semver-regexパッケージが過剰なCPUリソースを消費する原因となります。これにより、アプリケーションのパフォーマンスが著しく低下したり、完全に停止したりする可能性があります。特に、semver-regexパッケージを頻繁に使用するアプリケーションや、外部からの入力を直接処理するアプリケーションは、この脆弱性の影響を受けやすいと考えられます。攻撃者は、DoS攻撃を実行することで、アプリケーションの可用性を低下させ、ビジネスへの影響を及ぼす可能性があります。

Applications and services built on Node.js that utilize the semver-regex package for version validation or processing are at risk. This includes projects that handle user-provided version information, interact with package managers, or rely on external systems that provide version strings. Specifically, projects using older versions of npm or yarn that automatically install vulnerable dependencies are particularly susceptible.

• nodejs / server:

  npm list semver-regex

If the output shows a version prior to 3.1.3, the system is vulnerable. • nodejs / server:

  npm audit semver-regex

This command will identify vulnerable packages in your project. • nodejs / supply-chain: Examine package.json files for dependencies on semver-regex and check their versions.

1. 2021-09-20Disclosure

   disclosure

1. 予約済み2021-09-11
2. 公開日2021-09-20
3. 更新日2026-02-04
4. EPSS 更新日2026-04-02

この脆弱性への主な対策は、semver-regexパッケージをバージョン3.1.3以降にアップデートすることです。アップデートがすぐに実行できない場合は、入力検証を強化し、悪意のあるsemver文字列がsemver-regexパッケージに渡されないようにする必要があります。WAF（Web Application Firewall）を使用している場合は、悪意のあるsemver文字列を検出してブロックするルールを追加することも有効です。また、アプリケーションのログを監視し、異常なCPU使用率やパフォーマンスの低下を検知することも重要です。

最終更新

4.0.548ヶ月前