ニュース
「Node.js」にセキュリティアップデート ～サポート終了の旧版にもCVE番号が付番開始
v23.6.1/v22.13.1/v20.18.2/v18.20.6へのアップデートを
2025年1月22日 15:10
「Node.js」のセキュリティアップデートが、1月21日にリリースされた。以下のバージョンへのアップデートが推奨されている。
今回のリリースでは、「undici」ライブラリが公開済みの脆弱性を修正したバージョンへアップデートされた。加えて、以下の「Node.js」固有のセキュリティ修正が実施されている（括弧内は深刻度）。
- CVE-2025-23083：Worker permission bypass via InternalWorker leak in diagnostics（High）
- CVE-2025-23084：Path traversal by drive name in Windows environment（Medium）
- CVE-2025-23085：GOAWAY HTTP/2 frames cause memory leak outside heap（Medium）
加えて、以前アナウンスされた通り、ライフサイクルを終えた（EOL、End-of-Life）バージョンに対しCVE番号が付番されている。サポートが終了しているバージョンを使い続けるのは、セキュリティ上のリスクが大きい。できるだけ早めに後継バージョンへ移行したい。
- CVE-2025-23087：Node.js v17.x 以前
- CVE-2025-23088：Node.js v19.x
- CVE-2025-23089：Node.js v21.x