不正な入力におけるASFパーサーの無限ループにより影響を受けるファイルタイプ

この脆弱性は、file-typeモジュールを使用して、信頼できないまたは攻撃者制御の入力ファイルのタイプを検出するアプリケーションに影響を与えます。攻撃者は、55バイトのペイロードを含む悪意のあるASFファイルを解析することで、Node.jsのイベントループを停止させ、サービス拒否を引き起こす可能性があります。これにより、アプリケーションが応答しなくなり、利用できなくなる可能性があります。攻撃者は、この脆弱性を悪用して、システムリソースを枯渇させ、他の攻撃を仕掛けるための足がかりにすることも考えられます。

Applications that rely on the file-type module to determine file types, particularly those handling untrusted or attacker-controlled input, are at risk. This includes web applications with file upload functionality, media processing services, and any Node.js application utilizing the file-type module for file type detection.

• nodejs / server:

npm list file-type

This command will list the installed version of the file-type module. If the version is less than 21.3.1, the system is vulnerable.

• nodejs / server:

journalctl -u nodejs | grep -i "file-type"

Monitor Node.js logs for any errors or unusual activity related to the file-type module, particularly around file parsing.

• generic web: Inspect file upload endpoints for proper ASF file validation. Ensure that the size field of ASF sub-headers is validated to prevent zero-sized values.

1. 2026-03-10Disclosure

   disclosure

1. 予約済み2026-03-09
2. 公開日2026-03-10
3. 更新日2026-03-19
4. EPSS 更新日2026-03-23

この脆弱性への主な対策は、file-typeモジュールをバージョン21.3.1以降にアップグレードすることです。アップグレードが困難な場合は、信頼できない入力ファイルの解析を一時的に停止するか、ファイルタイプ検出の代替手段を検討してください。WAF（Web Application Firewall）やプロキシサーバーを使用して、悪意のあるASFファイルの解析をブロックすることも有効です。また、Node.jsアプリケーションのログを監視し、異常なイベントループの停止を検出するためのカスタム監視ルールを実装することも推奨されます。