SVGO DoS through entity expansion in DOCTYPE (Billion Laughs)

この脆弱性は、攻撃者がsvgoに特別に細工されたXMLファイルを送信することで、サービス拒否攻撃を引き起こすことを可能にします。XMLファイルは、カスタムエンティティの展開または再帰を適切に処理しないsvgoの脆弱性を悪用し、JavaScriptヒープメモリ不足を引き起こします。これにより、アプリケーションが応答しなくなり、最悪の場合、Node.jsプロセス全体がクラッシュする可能性があります。攻撃者は、この脆弱性を利用して、ターゲットシステムをダウンさせ、利用不能にすることができます。特に、SVG画像を処理するアプリケーションやサービスをホストしている環境において、重大な影響が考えられます。

Applications and services that utilize SVGO for SVG image optimization are at risk. This includes web applications, build pipelines, and any automated processes that process SVG files. Specifically, projects relying on older versions of SVGO (prior to 2.8.1) and those lacking robust input validation are particularly vulnerable.

• nodejs / supply-chain: Monitor Node.js processes for excessive memory consumption and JavaScript heap out of memory errors.

ps aux | grep node | awk '{print $6, $7}' | sort -n

• nodejs / supply-chain: Check for SVGO versions prior to 2.8.1 installed in your project dependencies.

npm ls svgo

• generic web: Examine web server access logs for requests containing XML files with unusual or deeply nested custom entities. Look for patterns indicative of entity expansion attempts.

1. 2026-03-04Disclosure

   disclosure

1. 予約済み2026-03-03
2. 公開日2026-03-04
3. 更新日2026-03-10
4. EPSS 更新日2026-03-23

この脆弱性への最良の対応策は、svgoをバージョン2.8.1にアップデートすることです。アップデートできない場合は、XMLファイルの入力を厳密に検証し、カスタムエンティティの展開や再帰を制限するフィルタリングルールを実装することを検討してください。また、WAF（Web Application Firewall）を導入し、悪意のあるXMLファイルをブロックすることも有効です。Node.jsプロセスを監視し、メモリ使用量の異常を検知する仕組みを導入することも推奨されます。