chalk/ansi-regexにおける非効率な正規表現の複雑さ

この脆弱性を悪用されると、攻撃者は特製のANSIエスケープコードを送信することで、ansi-regexライブラリの正規表現エンジンを過剰に負荷させ、サーバーをダウンさせる可能性があります。攻撃の成功は、サーバーのCPU使用率を著しく増加させ、他のリクエストの処理を妨げる可能性があります。この脆弱性は、特にansi-regexライブラリを頻繁に使用するアプリケーションや、外部からの入力を処理するアプリケーションにおいて深刻な影響を及ぼす可能性があります。正規表現の複雑性により、攻撃者は比較的容易にReDoSを引き起こすことができ、攻撃の検出と防御が困難になる可能性があります。

Applications and services built on Node.js that utilize the ansi-regex package are at risk. This includes command-line tools, terminal emulators, logging utilities, and any application that processes ANSI escape codes. Specifically, projects using older versions of ansi-regex and those that do not perform input validation on ANSI escape code strings are particularly vulnerable.

• nodejs / server:

  ps aux | grep ansi-regex | grep -v grep | awk '{print $2}' | xargs -n 1 pmap -x | grep -q 'ansi-regex.js'

• nodejs / server:

  journalctl -u node | grep -i "ansi-regex"

• generic web: Inspect Node.js application logs for unusually high CPU usage or errors related to ansi-regex parsing.

1. 2021-09-20Disclosure

   disclosure

2. 2021-09-20PoC

   poc

3. 2021-09-20Patch

   patch

1. 予約済み2021-09-16
2. 公開日2021-09-20
3. 更新日2026-02-04
4. EPSS 更新日2026-04-02

この脆弱性への主な対策は、ansi-regexライブラリをバージョン6.0.1以上にアップデートすることです。アップデートが困難な場合は、入力の検証を強化し、無効なANSIエスケープコードをフィルタリングすることで、攻撃のリスクを軽減できます。また、WAF（Web Application Firewall）を導入し、ReDoS攻撃を検知・防御するルールを設定することも有効です。正規表現エンジンのタイムアウトを設定することで、過剰な負荷によるサービス拒否を防ぐことができます。アップデート後、ansi-regexライブラリのバージョンを確認し、脆弱性が修正されていることを確認してください。