Node.js、リモートコード実行の脆弱性などを修正するセキュリティリリースを公開

Webサービスでは、Node.jsが使われる場所はおもに2つです。サーバーでAPIの要求に答えるか、公開前にWebサイトのファイルを作るビルドツールとして動きます。架空の案内サイトで考えると、開発者がNode.jsでページを先にHTMLファイルにしておき、公開サーバーは完成したファイルを返すだけです。訪問者がページを開いてもNode.jsは動きませんが、ファイルを作るビルド環境にはNode.jsがあります。

架空の天気情報サービスを考えてみます。自分のNode.jsサーバーが外部の天気提供サーバーに情報を要求し、戻ってきた圧縮データを展開して気温を表示します。BrotliはWebのデータを小さく送るための圧縮形式で、Node.jsには元の情報を読めるように展開する機能もあります。公式文書にも、外部のHTTP応答を受け取りBrotliで展開する例が載っています。公式の圧縮応答処理例

普段は気温の情報が届きます。しかし、攻撃者が応答の内容を操作でき、細工したデータが未修正のNode.jsの脆弱なBrotli処理まで届けば、そこが攻撃の入口になります。送られてくるのは、運営者が実行を依頼したプログラムではなく、アプリが読むつもりだったデータです。

この経路があるかは実装によって変わります。送信されたBrotliファイルを展開する機能、外部の圧縮応答を読む機能、ビルド中に外部データを取得して展開する処理を調べる理由です。あらゆるファイル送信やHTTP要求が自動的に今回の欠陥を動かすわけではありません。

メモリは、動いているプログラムが作業中の情報を一時的に置く場所です。展開処理は確保した範囲に結果を書かなければなりませんが、今回の欠陥はその外まで書いてしまう「範囲外書き込み」です。Node.jsはCVE-2026-111497がリモートコード実行、略してRCEを可能にすると説明しています。公式セキュリティ情報

作業台に「受け取ったデータの置き場」と「作業に必要な別のメモ」があると考えてください。自分の置き場だけに書けばメモは残りますが、境界を越えて上書きすると、そのメモを頼りにするプログラムも誤動作し得ます。実際のメモリにはデータのほかに実行を続けるための情報もあり、それが壊れることで、条件によっては攻撃者が実行を別の方向へ変えられます。MITREの範囲外書き込みの説明

危険は「気温の数字が間違って見える」だけにとどまらない場合があります。依頼した仕事はデータを読むことでも、欠陥を悪用すると攻撃者が望む別の仕事までさせられるおそれがある、ということです。大きなデータやメモリ不足がすべてRCEになるわけではなく、この記事では攻撃入力や成功条件を再現していません。

RCEが成立すると、攻撃コードは通常、侵害されたプログラムの権限で動きます。Node.jsが読めるファイルや秘密情報、書き換えられるファイル、接続できるデータベースが被害範囲を左右します。サーバーの最高管理者権限や、会社の別のサーバーへの権限が自動的に手に入るという意味ではありません。

以下は想定される被害の例です。今回の脆弱性で特定のサービスに起きた事件や、実験で確認した結果ではありません。

架空のサーバーAが v24.22.0 を使っているとします。系列は同じ24.xでも、今回の修正版は24.22.1なので、サーバーAはまだ修正前です。

Linuxディストリビューションや管理型ホスティングは、修正を自社のパッケージに移すことがあります。これをバックポートといいます。その場合はバージョン番号だけでは判断しにくいので、提供元のパッケージ改訂番号とセキュリティ修正の履歴もあわせて見ます。

npm はアプリが使うパッケージを管理する道具です。今回の修正はNode.js本体とその中の同梱部品にあるので、npm update でアプリのパッケージを上げても反映されません。Node.jsの実行ファイルか、それを含むコンテナーイメージを入れ替える必要があります。

• Node.jsが動くサーバー・コンテナー・ビルド環境を一覧にします。
• それぞれの修正パッケージを入手し、アプリの互換性を試します。
• 実行ファイルやイメージを入れ替え、必要な再起動・再デプロイを行います。
• 動いているバージョンと実際の主要機能を再点検します。

最後の点検では、ログイン、API応答、外部とのHTTPS通信、圧縮された応答の処理など、今回の修正に関わる機能をひと通り動かしてみます。