概要
プログラマブル動画生成ライブラリ Remotion（npm パッケージ）のバージョン 4.0.410 未満において、リモートコード実行（RCE）が可能な脆弱性が確認されました。
Remotion は React を使用してプログラムで動画を生成するライブラリで、CI/CD パイプラインや Web アプリケーションに組み込まれることが多いです。本脆弱性により、攻撃者が Remotion を使用するサービスでコードを実行できる可能性があります。
GHSA では Critical に分類されています（CVSS スコアは未採点、本ページでは Critical 下限の推定値 9.0 を表示）。
技術的背景
Remotion はサーバーサイドでの動画レンダリングをサポートしており、Chromium を介したヘッドレスブラウザ処理や Lambda/Vercel などのサーバーレス環境でも使用されています。動画生成処理において外部から制御可能な入力が適切にサニタイズされない場合、リモートコード実行につながるリスクがあります。
本ライブラリはフロントエンド・バックエンド両方の動画処理フレームワークで利用されており、影響を受けるバージョンを使用しているシステムでは早急なアップデートが推奨されます。v4.0.410 では本脆弱性が修正されており、リリースノートと Pull Request #6378 で詳細が確認できます。
動画生成や処理を行うサービスは、ユーザー入力を処理する際のリスクが高い傾向があるため、Remotion に限らずサードパーティライブラリの定期的なアップデートと脆弱性監視を行うことを推奨します。
重大度情報
| 指標 | 値 |
|---|---|
| 分類元 | GitHub Advisory Database (GHSA) |
| 深刻度 | Critical |
| CVSSスコア | 未採点（Critical 下限推定値: 9.0） |
影響を受けるソフトウェア
| 製品 | ベンダー | 影響バージョン | 修正バージョン |
|---|---|---|---|
| remotion | Remotion | < 4.0.410 | 4.0.410 |
修正バージョンと回避策
修正バージョン: remotion v4.0.410
推奨対応:
- npm / yarn / pnpm で remotion を v4.0.410 以降へ更新する
npm update remotionまたはnpm install remotion@latestを実行する- package.json と lock ファイルを更新して確定する
関連リンク
データソース: NVD (NIST), GitHub Advisory Database (GHSA)
AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。