概要
Hot Chocolate の Utf8GraphQLParser に再帰深度制限がない脆弱性が発見されました。深くネストされた GraphQL ドキュメント（約 40KB）を送信すると、.NET の StackOverflowException がスローされ、プロセスが強制終了されます。
この例外はキャッチ不能なため、MaxExecutionDepth や複雑度アナライザーでは防止できません（パーサーフェーズで発生するため）。修正バージョンでは MaxAllowedRecursionDepth オプションが追加されました。回避策はなく、アップグレードが唯一の対策です。
CVSSベクトル
| 項目 | 値 |
|---|---|
| CVSSスコア | 9.1 |
| 深刻度 | Critical |
| 攻撃経路 (AV) | ネットワーク (Network) |
| 攻撃複雑度 (AC) | 低 (Low) |
| 必要権限 (PR) | 不要 (None) |
| ユーザー操作 (UI) | 不要 (None) |
| CWE | CWE-674 (過剰な再帰) |
影響を受けるソフトウェア
| 製品 | ベンダー | 影響バージョン |
|---|---|---|
| Hot Chocolate | ChilliCream | 12.22.7 未満 (v12系) |
| Hot Chocolate | ChilliCream | 13.9.16 未満 (v13系) |
| Hot Chocolate | ChilliCream | 14.3.1 未満 (v14系) |
| Hot Chocolate | ChilliCream | 15.1.14 未満 (v15系) |
修正バージョンと回避策
- 修正バージョン: Hot Chocolate 12.22.7、13.9.16、14.3.1、または 15.1.14 以降へアップデート
- 緩和策: リバースプロキシでリクエストボディサイズを制限することで攻撃ペイロードの到達を制限できます（完全な回避策ではない）
- 注意:
MaxExecutionDepthおよび複雑度アナライザーはこの脆弱性を防止できません
関連リンク
データソース: NVD (NIST) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。