はじめに：node-opcua脆弱性の概要

日本のフロントエンドエンジニアの皆さん、こんにちは。今回は、Node.jsでOPC UAサーバーを構築する際に利用される`node-opcua`ライブラリにおける、高深刻度（High severity）の脆弱性「GHSA-6wvw-vrw4-363w / CVE-2026-54156」について解説します。

この脆弱性は直接フロントエンドのコードに影響するものではありませんが、Node.jsベースのバックエンドやBFF（Backend for Frontend）を構築している場合、この脆弱性がサービス全体に深刻な影響を与える可能性があります。特に、OPC UAプロトコルは産業オートメーションで広く使われるため、IoTや工場関連のシステム開発に携わっている方は注意が必要です。

脆弱性の詳細：認証不要なヒープ枯渇DoS

この脆弱性は、認証されていないリモートの攻撃者が、繰り返しセッションを開くことでサーバーのヒープメモリを枯渇させ、最終的に`node-opcua`サーバープロセスをクラッシュさせる可能性があるというものです。これはサービス運用妨害（Denial of Service; DoS）の一種であり、CVSSスコア7.5（High）と評価されています。

具体的には、`node-opcua`のバージョン2.165.0以下に影響があるとされています。攻撃者は認証情報を必要とせず、単にセッションを繰り返し開閉するだけで、サーバーのリソースを徐々に消費させることができてしまいます。

Root Cause：なぜnonceキャッシュが問題なのか？

脆弱性の根本原因は、`node-opcua-secure-channel`パッケージ内の`server/server_secure_channel_layer.ts`にある`g_alreadyUsedNonce`というプロセスグローバルなnonceキャッシュにあります。このキャッシュは、リプレイ攻撃を防ぐために以前使用されたnonce（一度だけ有効な数値）を追跡する目的で利用されます。

問題は、このキャッシュに「エビクションポリシー（削除や期限切れ処理の仕組み）」が存在しない点です。`OpenSecureChannelRequest`や`CreateSession`リクエストのたびに新しいnonceがキャッシュに追加されますが、一度追加されたエントリーは永久に削除されません。

特に認証を必要としない`CreateSession`パスが悪用され、攻撃者は認証なしで無制限にnonceエントリーを蓄積させることが可能になります。たとえ同時セッション数を制限する設定（`maxSessions=10`など）があっても、セッション終了後もnonceはキャッシュに残り続けるため、ゆっくりと着実にヒープメモリを消費し続け、最終的にサーバーのメモリを使い果たし、クラッシュさせます（Out Of Memory, OOM）。これにより、サーバーはサービスを提供できなくなります。

フロントエンドエンジニアへの影響と対策

**影響**: あなたが関わるプロジェクトで`node-opcua`を直接利用しているNode.jsバックエンド（例えば、工場設備と連携するIoTゲートウェイやデータ収集サービスなど）がある場合、そのサービスがDoS攻撃のリスクに晒されます。結果として、フロントエンドアプリケーションが依存するAPIが停止し、ユーザーはアプリケーションを利用できなくなり、サービス全体が利用不能になる可能性があります。

**対策**:

1. **バージョンアップ**: 最も重要な対策は、`node-opcua`ライブラリを、この脆弱性が修正されたバージョンに速やかに更新することです。公式から修正版がリリースされるのを待ち、すぐに適用しましょう。

2. **依存関係の確認**: プロジェクトの`package.json`や`package-lock.json`を確認し、直接的または間接的に`node-opcua`を使用していないかを確認してください。もし使用している場合は、チーム内で情報を共有し、対応計画を立てましょう。

3. **アクセス制御の強化**: 修正版がリリースされるまでの暫定的な措置として、OPC UAサーバーへのアクセスを信頼できるネットワークやIPアドレスに限定するなどのネットワークレベルでのセキュリティ対策も検討してください。ファイアウォールやVPNの活用も有効です。

まとめ

今回の`node-opcua`の脆弱性は、サプライチェーン全体のセキュリティ意識の重要性を改めて示しています。直接フロントエンド開発に関わらないライブラリであっても、それが依存するバックエンドサービスに影響を与える可能性は十分にあります。

定期的な依存ライブラリの脆弱性スキャン（DependabotやSnykなどのツールを活用）や、バージョンアップは、安定したサービス提供のために不可欠です。常に最新のセキュリティ情報をキャッチアップし、セキュアな開発を心がけましょう。もし疑問や不安があれば、積極的にバックエンドチームやセキュリティチームと連携を取りましょう。