sha.js には型チェックが不足しており、ハッシュの巻き戻しや作成されたデータの通過を引き起こす

CVE-2025-9288 は、sha.js における入力型チェックの欠如が原因です。これにより、適切にフォーマットされた Buffer または string 以外の型が渡される可能性があり、無効な値、ハング、ハッシュ状態の巻き戻し（タグ付けされたハッシュをタグ付けされていないハッシュに変換するなど）、またはその他の予測不能な動作につながる可能性があります。この欠陥は、攻撃者が SHA ハッシュ関数のセキュリティに依存するアプリケーション、特にハッシュプロセスを操作することで、データ整合性を損なうために悪用される可能性があります。この脆弱性の重大度は、CVSS スケールで 9.1 と評価されており、高いリスクを示しています。このリスクを軽減するために、バージョン 2.4.12 以降にアップグレードすることを強くお勧めします。

Applications relying on sha.js for cryptographic hashing, particularly those handling untrusted input, are at significant risk. This includes web applications, backend services, and any Node.js projects utilizing sha.js directly or as a dependency. Projects that have not implemented robust input validation practices are particularly vulnerable.

• nodejs / server:

  ps aux | grep sha.js

• nodejs / supply-chain:

  npm ls sha.js

• nodejs / server:

  npm audit sha.js

• nodejs / server:

  find / -name 'sha.js' -type f

1. 2025-08-21Disclosure

   disclosure

1. 予約済み2025-08-20
2. 公開日2025-08-21
3. 更新日2026-03-16
4. EPSS 更新日2026-03-23

CVE-2025-9288 の主な軽減策は、sha.js をバージョン 2.4.12 以降にアップグレードすることです。このバージョンには、入力型を適切に検証し、予測不能な動作を防ぐために必要な修正が含まれています。即時のアップグレードが不可能な場合は、sha.js を使用しているコードを確認し、適切にフォーマットされた Buffer または文字列のみが入力として渡されるようにしてください。また、アップグレードが完了するまで、sha.js を使用しているアプリケーションに異常な動作がないか注意深く監視してください。