30秒で判断
- 対応すべき人: npm
tar（node-tar）7.5.21 未満を利用し、信頼できない tar アーカイブを展開・メンバー選択する処理を持つアプリの開発者 - 対応不要な人: node-tar を使っていない、信頼できる tar のみを扱う、修正版へ更新済みの環境
- 確認方法:
npm ls tar（推移的依存を含む）でバージョンを確認
概要
Node.js で広く使われる tar 実装 node-tar（npm tar）に、制御されない再帰による DoS（GHSA-r292-9mhp-454m、CWE-674）の脆弱性が公開されました。
長いパスとメンバー選択を組み合わせた細工された tar を処理させると、mapHas / filesFilter の再帰が暴走し、捕捉できないスタックオーバーフローによりプロセスがクラッシュします。node-tar は多数のパッケージの推移的依存として利用されており、信頼できないアーカイブを扱う経路が対象です。
本 Advisory は GHSA の深刻度ラベル High に基づきます。上記 CVSS 値は概略であり、正確なスコア・ベクトルは原文をご確認ください。
CVSSベクトル
| 指標 | 値 |
|---|---|
| Attack Vector | Network（信頼できない tar の処理） |
| Attack Complexity | Low |
| Privileges Required | None |
| User Interaction | None |
| Impact | サービス停止（DoS） |
| 深刻度 | High (GHSA) |
影響を受けるソフトウェア
| 製品 | バージョン |
|---|---|
| tar (node-tar) | < 7.5.21 |
修正バージョンと回避策
- 修正バージョン:
tar7.5.21 以降 npm install tar@latest（または推移的依存の更新）で対応してください。- 更新までは信頼できない tar アーカイブのメンバー選択処理を避ける運用が緩和策になります。
関連リンク
データソース: GitHub Advisory Database, NVD (NIST) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。