はじめに：Angular SSRにおける深刻なメモリ枯渇の危機

日本のフロントエンドエンジニアの皆さん、今回はAngular SSRを利用しているプロジェクトにとって非常に重要なセキュリティ情報をお届けします。ID: GHSA-ff3f-86qr-9cv3 / CVE: CVE-2026-101896 として識別されるこの脆弱性は、深刻度「High」に分類され、対策を怠るとあなたのサービスが簡単に運用妨害（DoS）の標的となる可能性があります。Node.jsでAngular SSRを稼働させている方は、必ず最後まで読み、適切な対応を行ってください。

脆弱性の概要：なぜサービスが停止するのか？

この脆弱性は、Angularのサーバーサイドレンダリング（SSR）機能が有効なNode.jsアプリケーションに影響します。攻撃者は、特定の形式のURL（具体的には、数値を含むマトリックスパラメーターを持つURL）をアプリケーションにリクエストすることで、Node.jsのV8 JavaScriptエンジンに異常な量のメモリを消費させ、結果としてSSRプロセスをクラッシュさせることができます。

認証されていないリモートの攻撃者でも、少量のHTTPリクエストを送信するだけでNode.jsのヒープメモリを枯渇させ、「JavaScript heap out of memory」エラーを引き起こし、SSRワーカーを停止させることが可能です。これは、Webサイトがアクセス不能になることを意味し、ビジネスに甚大な影響を与える可能性があります。

技術的な仕組み：V8エンジンの「誤解」とは？

問題の根源は、`@angular/router`が`/a;990;2522`のような数値のマトリックスパラメーターを含むURLを解析する際のV8エンジンの挙動にあります。

通常、JavaScriptオブジェクトにプロパティを設定する際、V8は効率的なデータ構造を使用します。しかし、この脆弱性の場合、`@angular/router`がURLセグメント内の数値（例: `990`, `2522`）をオブジェクトのプロパティ名ではなく、誤って配列のインデックスとしてV8に解釈させてしまいます。

V8は、空のオブジェクトに対して非常に大きな数値インデックス（例: `obj[2522] = value`）が設定された場合、その最大インデックスまでの「密な配列」としてメモリを確保する性質があります。これにより、たった1つのURLセグメントから、約2522個のポインタ分のメモリ（約20～25KB）という不必要なメモリが確保されてしまいます。

攻撃者は、`/a;990;2522/a;990;2522/...`のように、この数値マトリックスパラメーターを含むURLセグメントを繰り返すことで、わずか11バイトのURLセグメントあたり約20～25KBのメモリを消費させる、約350倍ものメモリ増幅攻撃を引き起こすことが可能になります。

あなたのアプリケーションは影響を受けるか？確認すべき条件

この脆弱性は、純粋なクライアントサイドのAngularアプリケーション（SPAでSSRを使用しない場合）には影響しません。以下のすべての条件に合致する場合、あなたのアプリケーションは影響を受ける可能性があります。

<ul><li>AngularアプリケーションがNode.js/V8上でサーバーサイドレンダリング（SSR）を有効にして稼働している。</li><li>ユーザーが制御可能なリクエストURLがSSR中に`@angular/router`によって解析される。</li><li>Nginx, Cloudflare, AWS ALBなどのリバースプロキシが、セミコロン（`;`）を含むURLや複数のパスセグメントをフィルタリングせずにバックエンドへ転送している。</li></ul>

今すぐ取るべき対策

<h3>1. 最優先事項：パッチの適用</h3>

最も確実な対策は、`@angular/router`を以下のいずれかのバージョンにアップデートすることです。これらのバージョンでは、数値のURLキーに対してV8が配列ではなく辞書形式のストレージを使用するよう強制され、不必要なメモリ確保が防がれます。

<ul><li>`22.2.0`</li><li>`21.2.24`</li><li>`20.3.32`</li></ul>

<h3>2. 緊急時の一時的な緩和策</h3>

パッチ適用がすぐに難しい場合の緊急対策として、以下のいずれかを検討してください。ただし、これらは根本的な解決ではないため、速やかなパッチ適用を優先してください。

<ul><li><strong>リバースプロキシでのマトリックスパラメーターのブロックまたはサニタイズ:</strong><br>Nginx、Cloudflare、AWS WAFなどのリバースプロキシで、リクエストパスにセミコロン（`;`）が含まれるリクエストを拒否するか、セミコロンを除去する設定を行います。<br>例: Nginxで `if ($uri ~* ";") { return 400; }` のような設定を追加し、セミコロンを含むURLをブロックします。</li><li><strong>厳密なパスセグメント数の制限:</strong><br>リバースプロキシやWAFで、リクエストパスのセグメント数が過度に多い（例: 20～30セグメント以上）リクエストを拒否します。</li><li><strong>Node.jsの旧世代（Old Space）メモリの増量:</strong><br>Node.jsの起動オプション `--max-old-space-size` を増やして（例: 2048MBまたは4096MB）、メモリ枯渇に必要な同時リクエスト数を増やすことができます。これは攻撃に対する耐性を一時的に上げるものですが、脆弱性を根本的に解決するものではありません。</li></ul>

まとめ：常に最新の状態を保ち、セキュリティを意識する

このAngular SSRのDoS脆弱性は、フロントエンド開発者もバックエンドのランタイム環境（Node.js/V8）の挙動に注意を払う必要があることを改めて示しています。依存関係のアップデートは単なる機能追加だけでなく、このようなセキュリティリスクからアプリケーションを守るためにも極めて重要です。

あなたのAngularアプリケーションが安全であることを確認するため、今すぐ対応策を講じ、定期的なセキュリティ情報のチェックと依存関係の更新を習慣化しましょう。