はじめに：なぜフロントエンドエンジニアも知るべきか？

皆さんは「`brace-expansion`」というライブラリをご存知でしょうか？ 直接使っていなくても、実はNode.jsエコシステム内で広く利用されている重要なユーティリティです。例えば、ファイルのパスをパターンマッチングする`minimatch`や`glob`といったライブラリの内部で利用されており、これらはWebpack、Rollup、Viteといったビルドツール、CLIツール、テストランナーなど、フロントエンド開発に欠かせない多くのツールに依存しています。今回発見されたこのライブラリの脆弱性は、あなたのNode.jsアプリケーションやビルドプロセスをサービス停止（DoS）に追い込む可能性があり、非常に深刻です。

脆弱性の概要：アプリケーションが応答不能になるメカニズム

この脆弱性（GHSA-3jxr-9vmj-r5cp / CVE-2026-13149）は、`brace-expansion`ライブラリの`expand()`関数に存在します。深刻度は「High」とされており、特定の短い文字列が入力されると、Node.jsアプリケーションの処理が数分間、場合によっては無期限に停止する可能性があります。これは、わずかな悪意のある入力によって、アプリのCPUが完全に占有され、リクエスト処理ができなくなるためです。

具体的には、「展開されない波括弧`{}`グループ」（例：`a{},{},{}`のように連続するパターン）が入力された際に問題が発生します。グループの数が増えるにつれて、処理時間が指数関数的に（O(2ⁿ)）爆発的に長くなります。たった30個の非展開グループ（約90バイトの入力）でさえ、Node.jsプロセスを数分間ブロックしてしまうほどの計算量を生み出します。

この問題の根源は、内部の`expand_`関数における不要な再帰処理です。本来不要な計算を早期リターンする前に実行してしまう設計ミスが原因で、各処理レベルで同じ残りの作業に対して実質的に2回再帰呼び出しが発生し、結果として計算量が指数関数的に増大していました。

Node.jsのイベントループとDoS攻撃のリスク

Node.jsはシングルスレッドのイベントループで動作します。この特性上、たった一つの重い処理や、このような指数関数的に計算量が増える処理が走ってしまうと、そのプロセス全体のCPUが占有され、他のすべてのリクエストやタスクが処理できなくなってしまいます。これにより、ウェブアプリケーションのレスポンスが停止したり、APIサーバーが応答不能になったりする「サービス停止（DoS）」状態に陥るのです。フロントエンドのビルドツールやCLIツールもNode.jsベースであるため、悪意のあるパターンを含むファイルパスが処理されるだけで、開発者のPC上でのビルドプロセスが停止する、といったシナリオも考えられます。

あなたのプロジェクトへの影響確認と対策

この脆弱性の影響を受けるのは、攻撃者が制御できる文字列を`brace-expansion.expand()`関数に直接的、または`minimatch`や`glob`のようなライブラリを介して間接的に渡す可能性のあるすべてのアプリケーションです。もしあなたのプロジェクトが外部からの入力（例：ユーザー入力、アップロードされたファイル名、URLパスなど）を処理する際に、これらのライブラリを使っている場合は、特に注意が必要です。

この脆弱性に対処するためには、**パッチが適用された最新バージョンへの速やかなアップグレードが強く推奨されます**。修正版では、不要な再帰計算を遅延させ、さらに特定の書き換え処理を再帰ではなくループにすることで、指数的な複雑さを解消しています。これにより、以前は数分かかっていたPoCコードの実行時間は約0.55ミリ秒に短縮され、5000グループの入力でも約344ミリ秒で完了するようになっています。

もしすぐにアップグレードが難しい場合は、以下の対策を検討してください。

1. **入力の検証・サニタイズ**: 信頼できない入力文字列を`expand()`関数や`glob`のブレースパターンに渡す前に、パターンを厳密に検証し、悪意のある可能性のある構造（例：連続する`{}`）をフィルタリングまたは拒否するようにします。

2. **タイムアウト処理の導入**: `brace-expansion`を呼び出す処理にタイムアウトを設定し、一定時間内に完了しない場合は処理を中断するようにします。ただし、これはプロセスがブロックされることを防ぐものではないため、根本的な解決にはなりません。

3. **独立したワーカープロセスでの処理**: 信頼できない入力の処理を独立したワーカープロセス（例: Node.jsの`worker_threads`）で行うことで、メインのイベントループがブロックされることを防ぎます。ただし、ワーカープロセスの管理やプロセス間通信のオーバーヘッドが発生します。

まとめ

`brace-expansion`のDoS脆弱性は、Node.jsのシングルスレッドモデルを悪用し、アプリケーション全体を停止させる可能性のある深刻な問題です。直接的に利用していなくても、依存関係の深いライブラリであるため、自身のプロジェクトの依存ツリーを確認し、速やかに最新バージョンへのアップデートを検討してください。システムの安定稼働のためにも、この脆弱性への対応は最優先事項として取り組むことを強く推奨します。