ニュース
「Node.js」のセキュリティリリースが年をまたいでようやく公開
深刻度「High」3件、「Medium」4件、「Low」1件の計8件に対処
2026年1月14日 10:45
「Node.js」のセキュリティアップデートが、1月13日（米国時間、以下同）に実施された。当初は12月15日に行われる予定だったが、何回もの延期を経てようやくリリースされた。
今回リリースされたバージョンは、以下の通り。できるだけ早い更新が望ましい。
修正された脆弱性は、全8件。深刻度の内訳は「High」3件、「Medium」が4件、「Low」が1件となっている。
- CVE-2025-55131：Buffer.alloc/Uint8Arrayがゼロ初期化されない可能性。タイムアウトを伴うレースコンディションにより、未初期化メモリが露出する（High）
- CVE-2025-55130：ファイルシステム権限のバイパス。シンボリックリンクを悪用し、--allow-fs-read/writeを回避できてしまう（High）
- CVE-2025-59465：HTTP/2 HEADERSフレームの不正処理によるクラッシュ。サービス拒否（DoS）につながるおそれ（High）
- CVE-2025-59466：深い再帰で発生したエラーを捕捉できず、プロセスが強制終了される（Medium）
- CVE-2025-59464：TLS クライアント証明書処理時のメモリリーク（Medium）
- CVE-2026-21636：UDS（Unix Domain Socket）を経由したネットワーク権限のバイパス（Medium）
- CVE-2026-21637：TLS PSK/ALPN コールバック例外でエラーハンドラがバイパスされる（Medium）
- CVE-2025-55132：fs.futimes()が読み取り専用権限をバイパス。読み取り専用ディレクトリでもタイムスタンプ変更が可能となる（Low）
Amazonで購入
