pbkdf2 が Uint8Array 入力を無視し、静的なキーを返す

CVE-2025-6547 は、Node.js の古いバージョン (0.12 - 2.x) に影響を与えますが、サポートは継続されています。具体的には、pbkdf2 関数は Uint8Array 入力をサイレントに無視します。このライブラリは Node.js バージョン 0.12 以降をサポートすると主張していますが、この予期しない動作はパスワードやその他の機密データのセキュリティを損なう可能性があります。CVSS は 9.5 と評価されており、重大なリスクを示しています。これは、攻撃者が弱いパスワードや予測可能なパスワードからキーを導出する可能性があり、入力検証が省略されているため、検出されない可能性があることを意味します。適切な入力検証の欠如により、入力の操作が可能になり、誤ったキーの生成や情報の漏洩につながる可能性があります。このリスクを軽減するために、パッチが適用されたバージョンにアップグレードすることが重要です。

Applications and services relying on Node.js versions 0.12 through 2.x are at significant risk. This includes legacy applications, systems with outdated dependencies, and environments where Node.js has not been regularly updated. Shared hosting environments using older Node.js versions are particularly vulnerable.

• nodejs / server:

  node -v | grep -q '0.12\.\|1\.\|2\.' && echo "Potentially vulnerable Node.js version detected!" || echo "Node.js version is safe."

• nodejs / server:

  npm list pbkdf2 | grep -q '>=3.1.3' || echo "pbkdf2 version is potentially vulnerable!"

• nodejs / server:

  find /usr/local/lib/node_modules /opt/node/lib/node_modules -name "pbkdf2" -type d -print0 | xargs -0 grep -l 'toBuffer' 

1. 2025-06-23Disclosure

   disclosure

1. 予約済み2025-06-23
2. 公開日2025-06-23
3. 更新日2026-02-22
4. EPSS 更新日2026-03-23

推奨される解決策は、Node.js バージョン 3.1.3 以降にアップグレードすることです。このバージョンは、Uint8Array 入力を適切に処理することで、脆弱性を修正します。Node.js のアップグレードがすぐにできない場合は、より堅牢な入力検証を実装する代替ライブラリで pbkdf2 ライブラリを置き換えることを検討してください。さらに、pbkdf2 を使用するコードを調べて、Uint8Array データが誤ってパスワードとして渡されていないことを確認してください。アプリケーションコードでパスワードが文字列またはバッファとして渡されるように追加の検証を実装すると、追加の保護層を提供できます。pbkdf2 に関連するアプリケーションログのエラーや異常な動作を監視することも、潜在的な悪用試行を検出するのに役立ちます。