はじめに：なぜフロントエンドエンジニアがバックエンドの脆弱性を知るべきか

皆さん、こんにちは。フロントエンドエンジニアとして日々ユーザー体験の向上に努めている中で、バックエンドの安定性やセキュリティは直接的に私たちの提供するサービス品質に影響を与えます。特に、もし皆さんのプロジェクトや利用しているサービスがParse Serverをバックエンドとして採用している場合、今回の脆弱性は見過ごせない重要な情報となります。本記事では、Parse Serverで発見されたサービス拒否（Denial of Service; DoS）脆弱性GHSA-cgxm-vr2f-6fj8について、その技術的な詳細と取るべき対策を解説します。

GHSA-cgxm-vr2f-6fj8とは？

今回報告されたGHSA-cgxm-vr2f-6fj8は、Parse Serverにおける高深刻度（High Severity）のサービス拒否脆弱性です。この脆弱性は、特定の種類のクエリが悪用されることで、Parse Serverが応答不能に陥り、サービスが停止するリスクを抱えています。最も懸念されるのは、**認証不要で誰でも攻撃が可能**である点です。

この脆弱性は、Parse Serverが深くネストされた特定のクエリ演算子（例：`$or`, `$and`, `$nor`）を含むリクエストを処理する際に発生します。具体的には、Parse Serverの内部的なクエリ走査ヘルパーが、このようなネストされた構造を処理する際に、**指数関数的な時間計算量**を要してしまうことが原因でした。

結果として、このようなクエリがサーバーに送信されると、Node.jsのイベントループが長時間ブロックされてしまいます。Node.jsはシングルスレッドで非同期処理を行うため、イベントループがブロックされると、他のすべてのクライアントからのリクエストに対する応答ができなくなり、最終的にサーバー全体がサービス停止状態に陥ります。

この攻撃は非常にシンプルかつ効果的です。攻撃者は、公開されているアプリケーションIDさえ知っていれば、**たった1つの小さなクエリ（約1KB程度）**を送るだけで、Parse Serverを数秒間応答不能にすることができます。この攻撃は繰り返し可能であり、認証は一切不要なため、悪意のあるユーザーによって容易にサービスが停止される可能性があります。

影響範囲は広く、Parse ServerのREST APIとLiveQueryの両方がこの脆弱性の影響を受け、デフォルト設定で脆弱な状態にあります。

この問題は、クエリの内部走査ヘルパーがネストされた配列を繰り返し走査する非効率的な処理をしていたことに起因していました。パッチ適用後はこの処理が修正され、クエリが**線形時間で走査される**ようになり、パフォーマンスのボトルネックが解消されています。

さらに、Parse Serverには`requestComplexity.queryDepth`という、クエリの深度を制限するオプション機能がありますが、これまでのバージョンでは`$elemMatch`や`$not`のようなフィールドレベル演算子、あるいは通常のフィールド名の中にネストされた論理演算子によってこの制限をバイパスできる経路が存在していました。今回の修正では、この`requestComplexity.queryDepth`機能も強化され、これらのバイパス経路も塞がれるようになりました。

対策と推奨事項

この脆弱性に対する最も効果的かつ強く推奨される対策は、**Parse Serverを脆弱性が修正された最新バージョンにアップグレードすること**です。設定のみで完全にこの脆弱性を回避する方法は存在しません。

一時的な緩和策として、`requestComplexity.queryDepth`を小さい正の整数に設定することで、ある程度の露出は減らせますが、前述のようにフィールドレベル演算子内にネストされたクエリによってこの制限をバイパスされる可能性があるため、完全な対策にはなりません。あくまで応急処置と考えてください。

自身のプロジェクトや利用しているクラウドサービスがParse Serverを利用している場合、バックエンドチームと連携し、早急なバージョンアップを強く推奨してください。ユーザーに安定したサービスを提供するためにも、この脆弱性への対応は最優先事項です。

まとめ

Parse Serverのサービス拒否脆弱性GHSA-cgxm-vr2f-6fj8は、認証不要で攻撃が可能であり、深刻なサービス停止リスクを伴います。フロントエンドエンジニアの皆さんにとって、バックエンドのセキュリティは間接的ではありますが、サービスの信頼性やユーザー体験に直結する重要な要素です。この脆弱性に対しては、何よりもParse Serverのバージョンアップが最善かつ必須の対策となります。自身の関わるプロジェクトが影響を受けないよう、迅速な情報共有と対応を心がけましょう。