file-type: ZIP 減圧ボム DoS via [Content_Types].xml エントリ

この脆弱性は、攻撃者が特別に細工されたZIPファイルを送信することで、file-typeライブラリが大量のメモリを消費するDoS攻撃を引き起こすことを可能にします。攻撃者は、比較的小さなZIPファイル（約255KB）を使用して、file-typeが257MB以上のメモリを消費するように仕向け、システムリソースを枯渇させ、サービスを停止させることが可能です。この攻撃は、特にメモリリソースが限られている環境において、深刻な影響を及ぼす可能性があります。攻撃者は、この脆弱性を悪用して、アプリケーションの可用性を低下させ、他の攻撃を仕掛けるための足がかりにすることも考えられます。

Applications built on Node.js that rely on the file-type module for file type identification are at risk. This includes web applications, file processing services, and any system handling user-uploaded files. Legacy applications using older versions of file-type are particularly vulnerable, as are applications that do not perform adequate input validation on uploaded files.

• nodejs / server:

  ps aux | grep file-type | grep -v grep | awk '{print $2}' | xargs -n 1 node -e 'const ft = require("file-type"); console.log(ft.fileType(Buffer.alloc(0).toString())' # Check for excessive memory usage during file type detection

• generic web:

  curl -I 'http://your-application/file-upload' # Check for file upload endpoints
  grep -i 'zip' /var/log/apache2/access.log # Monitor for ZIP file uploads

1. 2026-03-13Disclosure

   disclosure

1. 予約済み2026-03-12
2. 公開日2026-03-13
3. 更新日2026-03-19
4. EPSS 更新日2026-03-23

この脆弱性への最も効果的な対策は、file-typeライブラリをバージョン21.3.2以降にアップグレードすることです。アップグレードがシステムに影響を与える場合は、一時的な回避策として、ZIPファイルのサイズを制限するカスタムのバリデーションロジックを実装することを検討してください。また、WAF（Web Application Firewall）やプロキシサーバーを使用して、悪意のあるZIPファイルのアップロードをブロックすることも有効です。file-typeライブラリを使用するアプリケーションのログを監視し、異常なメモリ使用量の増加を検出することも重要です。