body-parserに欠陥 1回の要求でNode.jsのアプリが止まる恐れ

Node.jsのWebの仕組み「Express」で広く使われる部品「body-parser」に、1回の要求でアプリが止まる欠陥(CVE-2026-111181)が見つかりました。送られてきた本文を読む部品で、既定の設定のままで当たり、認証も要りません。GitHubの勧告のデータベースには、日本時間の10月24日に載りました。

直った版の1.20.9と2.4.0は、10月22日(協定世界時)に出ています。

勧告で分かったこと

勧告によると、要求そのものには普通に応答したあとで、処理が落ちます。アプリを自動で起こし直す仕組みがあっても、同じ要求を繰り返されると、止まったり動いたりを繰り返すことになります(当社の見立て)。

Expressを上げなくても直る

npmの記録では、Expressの最新の版は、次のようにbody-parserを指定しています。

指定の範囲に直った版が入るため、Expressの新しい版を待たなくても、依存を入れ直せば直った版が入ります。ただし、ロックファイル(package-lock.jsonなど)で古い版に固定されていると、そのままでは変わりません。

影響する会社・しない会社

• 影響する: Node.jsとExpressで、社外に公開するWebのアプリやAPIを動かしている会社です。1回の要求で止められる恐れがあります。
• 影響する: 委託先が作ったNode.jsのアプリや、Node.jsで動く製品を使っている会社です。中にbody-parserが入っているかを確かめます。
• 影響しない(勧告の範囲では): body-parserを使っていない仕組みです。

情シスが今日やること

1. 入っている版を確かめる。 開発の担当に、Node.jsのアプリごとに npm ls body-parser などで、body-parserの版を出してもらいます。1系は1.20.9、2系は2.4.0より前なら当たります。
2. 依存を入れ直す。 ロックファイルを更新して、直った版を入れ、試してから出します。Expressを上げる必要は、多くの場合ありません。
3. すぐ上げられないなら止める。 圧縮した本文を受け付ける必要が無いアプリは、inflate: falseを設定します。
4. 委託先と製品にも聞く。 委託先が運用するアプリや、Node.jsで動く製品のメーカーに、直った版への切り替えの予定を聞きます(当社の見立て)。