つみかさね

CVE-2026-124683

High(8.7)

Eclipse Langiumのアルゴリズム複雑性DoS CVE-2026-124683：影響範囲と対応方法

公開日: 2026-11-10データソース: NVD, GitHub Advisory

影響を受けるソフトウェア

製品ベンダー影響バージョン
Eclipse LangiumEclipse Foundation>= 3.2.0, <= 4.4.0 (IndentationAwareTokenBuilder/IndentationAwareLexer使用時のみ)

対応ガイド

high|推奨セキュリティ修正影響: 広範

推奨アクション

  1. 1IndentationAwareTokenBuilder/IndentationAwareLexerを使用しているか確認する
  2. 2GHSA-297v-g8mm-qj4hに記載の修正版へアップデートする
  3. 3アップデートが困難な場合はDefaultLexer/DefaultTokenBuilderへの切り替えやドキュメントサイズ制限を適用する

影響対象

Eclipse Langium利用のNode.jsアプリケーション開発者

対応不要な人

  • ✓Eclipse Langiumを使用していない
  • ✓IndentationAwareTokenBuilder/IndentationAwareLexerを使用していない（デフォルト設定のまま）
  • ✓修正済みバージョンを使用している

補足

  • -DefaultLexer/DefaultTokenBuilderのみを使用している場合は本問題の影響を受けません
CVEEclipse LangiumNode.jsDoS

30秒で判断

  • 対応すべき人: Eclipse Langium 3.2.0〜4.4.0を使い、オプトインのIndentationAwareTokenBuilder/IndentationAwareLexerを利用している方
  • 対応不要な人: Eclipse Langiumを使用していない方、DefaultLexer/DefaultTokenBuilderのみを使用している方
  • 確認コマンド: 
    npm ls langium

概要

Eclipse Langiumは、DSL（ドメイン特化言語）パーサーやエディタ拡張機能を構築するためのNode.js向けフレームワークです。3.2.0から4.4.0のバージョンにおいて、オプトインで利用できるIndentationAwareTokenBuilderとIndentationAwareLexerに、計算量が肥大化するアルゴリズム複雑性の問題（CWE-407）が存在します。

DEDENTトークンを生成する際、トークンビルダーが先行するドキュメント全体のテキストを再スキャンして行番号を再計算する処理になっており、インデントがほとんどの行で変化するようなドキュメントでは、トークン化処理が2次関数的（quadratic）な時間を要する状態になります。トークン化処理は同期的に実行されるため、数百キロバイト程度のドキュメントでもNode.jsのイベントループを数十秒単位でブロックし、同一プロセスが処理する全利用者に対するサービス拒否（DoS）状態を引き起こす可能性があります。デフォルトのDefaultLexer/DefaultTokenBuilderを使用している場合は影響を受けません。

CVSSベクトル

項目内容
CVSSスコア8.7 (High)
CVSSバージョン4.0
脆弱性種別非効率なアルゴリズム複雑性（CWE-407）
影響サービス拒否（DoS）、Node.jsイベントループのブロック

影響を受けるソフトウェア

製品ベンダー影響バージョン
Eclipse Langium (IndentationAwareTokenBuilder/IndentationAwareLexer使用時)Eclipse Foundation3.2.0 〜 4.4.0

修正バージョンと回避策

Eclipse Langiumのセキュリティアドバイザリ（GHSA-297v-g8mm-qj4h）で修正版の情報が公開されています。該当機能を使用している場合は、修正済みバージョンへのアップデートを推奨します。アップデートが難しい場合は、IndentationAwareTokenBuilder/IndentationAwareLexerの使用を一時的にDefaultLexer/DefaultTokenBuilderへ切り替える、または処理対象ドキュメントのサイズに上限を設けることが回避策として考えられます。

関連リンク

データソース: NVD (NIST) AI解説はClaude APIにより自動生成されています。正確性については原文をご確認ください。

参考リンク

NVD:https://nvd.nist.gov/vuln/detail/CVE-2026-124683
GitHub Security Advisory:https://github.com/eclipse-langium/langium/security/advisories/GHSA-297v-g8mm-qj4h
Eclipse GitLab:https://gitlab.eclipse.org/security/cve-assignment/-/work_items/553
Xでシェアはてブ
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC), CISA Known Exploited Vulnerabilities Catalog
AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。