Terserの正規表現の不適切な使用がReDoSにつながる

このReDoS脆弱性は、攻撃者が悪意のあるJavaScriptコードをterserに処理させることで、正規表現の処理を長時間化させ、サーバーのリソースを枯渇させ、サービス拒否状態を引き起こす可能性があります。攻撃者は、minify処理の遅延を利用して、他の攻撃を仕掛けるための時間稼ぎとして利用することも考えられます。特に、terserをCI/CDパイプラインで使用している場合、攻撃者はビルドプロセスを妨害し、ソフトウェアのリリースを遅らせる可能性があります。この脆弱性は、JavaScriptコードのminify処理に依存するアプリケーション全体に影響を及ぼす可能性があります。

Applications and services utilizing Terser for JavaScript minification or compression are at risk. This includes web applications, build systems (e.g., webpack, Parcel), and any Node.js projects that depend on Terser directly or indirectly through other packages. Developers using older versions of Terser in production environments are particularly vulnerable.

• nodejs / server:

  npm list terser

• nodejs / server:

  npm audit

• nodejs / server: Check package.json for terser versions < 4.8.1 or between 5.0.0 and 5.14.2. • nodejs / server: Monitor CPU usage; spikes correlated with Terser processing could indicate exploitation.

1. 2022-07-16Disclosure

   disclosure

1. 予約済み2022-02-24
2. 公開日2022-07-16
3. 更新日2025-01-14
4. EPSS 更新日2026-04-02

この脆弱性への主な対策は、terserをバージョン4.8.1以降にアップデートすることです。もしアップデートが困難な場合は、入力されるJavaScriptコードを検証し、正規表現の複雑さを制限するなどの対策を講じる必要があります。WAF（Web Application Firewall）を導入し、ReDoS攻撃の兆候を検知・遮断することも有効です。また、terserの正規表現処理に異常な時間がかかっている場合にアラートを発するように、監視システムを設定することも推奨されます。