multerにサービス停止の欠陥 非同期のfileFilterで落ちる 2.5.0へ

社内の申請の仕組みや、取引先から書類を受け取るWebの画面を、Node.jsとExpressで作っている会社は少なくありません。そのファイルのアップロードの受け取りに、よく使われるのがmulterです。Expressの開発の団体が保守しています。

このmulterに、認証のいらない1回の要求で、Node.jsのプロセスを止められる脆弱性CVE-2026-113872が見つかりました。深刻度はHigh(CVSS 7.5)です。条件は、受け取るファイルを選ぶ処理(fileFilter)を非同期で書いていることです。10月22日に出た2.5.0で直っています。

起きることと条件

なぜ1回の要求で落ちるのか

勧告によると、1つの要求に複数のファイルが入っていて、あるファイルが断られるなどして要求が打ち切られたとき、別のファイルの非同期のfileFilterがまだ結果を返していないことがあります。その処理があとから終わると、multerがもう片づけた読み込みの流れを動かそうとします。下で使っている部品(busboy)がその流れでエラーを出しますが、受け止める処理がもう無いため、Node.jsはこれを処理されないエラーとして扱い、プロセスを終わらせます。

ファイルの中身を調べる、データベースに問い合わせる、といった処理をfileFilterの中で待つ書き方は、珍しくありません。その書き方が、今回の条件にそのまま当てはまります(当社の見立て)。

1.x系は別の理由で上げる

今回の範囲は2.x系だけですが、1.x系を使い続けている仕組みもあります。npmは1.x系の最後の版(1.4.5-lts.2)に、「1.x系は複数の脆弱性の影響を受けており、2.x系で直っている。最新の2.x系に上げるように」との注意を付けています。1.x系の仕組みは、この機会に2.5.0へ上げる計画に入れます。

影響する会社・しない会社

• 影響する: multerの2.0.0から2.4.x系を使い、fileFilterを非同期で書いているNode.jsのWebの仕組みを動かしている会社。アップロードの受け口を外に開いていれば、外から止められる恐れがあります
• 確かめる: 外部に開発や保守を任せた申請の画面や、取引先との書類のやり取りの画面を持つ会社。中でmulterを使っているかを委託先に聞きます
• 影響しない: multerを使っていない仕組み。fileFilterを使っていないか、同期の処理で書いている仕組みも、今回の条件には当てはまりません

情シスが今日やること

1. 使っている仕組みを洗い出します。 開発の部門や委託先に、npm ls multer などでmulterの版を調べてもらい、アップロードの受け口を持つ仕組みの一覧を作ります。
2. fileFilterの書き方を確かめます。 非同期で書いているか(Promiseを待つ、外の処理の結果を待つ、など)を、仕組みごとに記録します。
3. 2.5.0へ上げます。 外に開いたアップロードの受け口から優先して上げます。すぐ上げられない仕組みは、勧告の回避策のとおり、fileFilterを同期の処理に書き換えます。
4. 落ちたときに気づけるようにします。 プロセスが異常終了したときに通知が届き、自動で立ち上がるかを確かめます。アップロードの受け口に、同じ送り元からの要求の数の上限を設けることも考えます(当社の見立て)。