プラットフォーム
nodejs
コンポーネント
@nestjs/microservices
修正版
11.1.20
11.1.20
11.1.19
CVE-2026-40879は、Node.jsのマイクロサービスフレームワーク@nestjs/microservicesにおけるサービス拒否（DoS）脆弱性です。攻撃者は、多数の小さな有効なJSONメッセージを単一のTCPフレームで送信することで、コールスタックオーバーフローを引き起こし、サービスを停止させることが可能です。この脆弱性は、@nestjs/microservicesのバージョン11.1.18以下に影響を与えます。バージョン11.1.19へのアップデートで修正されています。
この脆弱性は、攻撃者が@nestjs/microservicesを利用するアプリケーションに対してDoS攻撃を実行することを可能にします。攻撃者は、大量のJSONメッセージを送信することで、サーバーのリソースを枯渇させ、アプリケーションの応答を遅延させたり、完全に停止させたりする可能性があります。47KB程度のペイロードでコールスタックオーバーフローを誘発できるため、比較的容易に攻撃を実行できる可能性があります。この攻撃は、マイクロサービスアーキテクチャを採用している環境において、特に深刻な影響を及ぼす可能性があります。
この脆弱性は、2026年4月14日に公開されました。GitHubのユーザーhttps://github.com/hwpark6804-gifによって発見されました。現時点では、この脆弱性を悪用した公開されているPoCは確認されていませんが、DoS攻撃の可能性を考慮すると、攻撃者による悪用が懸念されます。CISA KEVカタログへの登録状況は不明です。
Applications built with NestJS that utilize the @nestjs/microservices package and are running versions prior to 11.1.19 are at risk. This includes microservices architectures and applications relying on TCP-based communication for inter-service communication. Specifically, deployments with limited resources or those handling high volumes of incoming requests are more vulnerable.
• nodejs / server:
npm list @nestjs/microservices• nodejs / server:
ps aux | grep -i microservices | grep -i json• nodejs / server:
journalctl -u your-nestjs-app -f | grep -i RangeErrordisclosure
patch
エクスプロイト状況
EPSS
0.06% (17% パーセンタイル)
CISA SSVC
この脆弱性への対応策として、まず@nestjs/microservicesをバージョン11.1.19以上にアップデートすることを推奨します。アップデートが困難な場合は、一時的な緩和策として、WAF（Web Application Firewall）やリバースプロキシで、異常な量のJSONメッセージを受信するリクエストをブロックするルールを実装することを検討してください。また、Node.jsアプリケーションのプロセス監視を強化し、異常なCPU使用率やメモリ消費を検知した場合に自動的にプロセスを再起動する仕組みを導入することも有効です。アップデート後、アプリケーションの正常性を確認し、DoS攻撃に対する耐性をテストしてください。
サービス拒否のリスクを軽減するために、バージョン 11.1.19 以降にアップデートしてください。このバージョンは、handleData 関数における過剰な再帰を回避することで問題を修正し、コールスタックのオーバーフローを防ぎます。
脆弱性分析と重要アラートをメールでお届けします。
CVE-2026-40879は、@nestjs/microservicesのバージョン11.1.18以下において、多数のJSONメッセージを送信することでコールスタックオーバーフローを引き起こすDoS脆弱性です。
もしあなたが@nestjs/microservicesのバージョン11.1.18以下を使用している場合、この脆弱性に影響を受ける可能性があります。
@nestjs/microservicesをバージョン11.1.19以上にアップデートしてください。アップデートが難しい場合は、WAFやリバースプロキシでリクエストを制限するルールを実装してください。
現時点では、公開されているPoCは確認されていませんが、DoS攻撃の可能性を考慮すると、悪用が懸念されます。
公式アドバイザリは、@nestjs/microservicesのGitHubリポジトリまたは関連するセキュリティ情報サイトで確認してください。
CVSS ベクトル