CVE-2022-23631: RCE in superjson

この脆弱性は非常に重大であり、攻撃者は superjson を使用して入力を処理するサーバー上で任意のコードを実行できます。Blitz.js のようなフレームワークを使用している場合、RPC コールなどのエンドポイントが脆弱性を持つ可能性があります。攻撃者は、この脆弱性を悪用してサーバーを完全に制御し、機密データを窃取したり、改ざんしたり、他のシステムへの攻撃の足がかりとして利用したりすることが可能です。認証不要でコード実行が可能であるため、攻撃の影響範囲は非常に広範に及ぶ可能性があります。この脆弱性は、Log4Shell のような深刻な脆弱性と同様の攻撃パターンで悪用される可能性があります。

Applications built with Blitz.js that utilize superjson for data parsing are particularly at risk. Any Node.js application relying on superjson for processing external data, especially in API endpoints or RPC calls, is also vulnerable. Shared hosting environments where multiple applications share the same server instance are at increased risk due to the potential for cross-application exploitation.

• nodejs / server:

  npm list superjson

This command will list installed versions of superjson. Check if the version is less than 1.8.1. • nodejs / server:

  find / -name "superjson.js" -o -name "superjson.min.js" -print

Locate superjson files on the system to identify potential vulnerable deployments. • nodejs / server:

  grep -r 'superjson.parse' /path/to/your/app

Search for instances of superjson.parse within your application code, as this is a key function used in vulnerable scenarios.

1. 2022-02-09Disclosure

   disclosure

1. 予約済み2022-01-19
2. 公開日2022-02-09
3. 更新日2026-02-04
4. EPSS 更新日2026-04-02

この脆弱性への対応として、superjson をバージョン 1.8.1 以降にアップグレードすることを強く推奨します。Blitz.js を使用している場合は、バージョン 0.45.3 以降にアップグレードしてください。アップグレードが困難な場合は、入力検証を強化し、信頼できない入力を処理する際に superjson の使用を避けるなどの回避策を検討してください。Web アプリケーションファイアウォール (WAF) を使用している場合は、悪意のあるコード実行を検知・防御するためのルールを設定することも有効です。攻撃の早期検知のため、異常なプロセス実行やファイルアクセスを監視する検知シグネチャを導入してください。アップグレード後、バージョンが正しく適用されていることを確認してください。