はじめに：なぜフロントエンドエンジニアも知るべきか？

Node.jsは、今日のWeb開発においてフロントエンドの領域でも欠かせない存在です。開発環境のセットアップ、ビルドプロセスの自動化（Webpack, esbuild, Viteなど）、テストの実行、CI/CDパイプラインなど、様々な場面でNode.jsが活用されています。そのため、Node.js環境で利用されるライブラリのセキュリティ脆弱性は、バックエンドだけでなく、私たちの開発プロセスやアプリケーションの安定性にも間接的に影響を及ぼす可能性があります。

今回解説するvm2の脆弱性は、Node.jsでセキュアなサンドボックス環境を提供するライブラリに関するものです。直接vm2を使用していなくても、間接的な依存関係や、Node.jsプロジェクト全体のセキュリティ意識向上のために、その内容を理解することは非常に重要です。

脆弱性の概要 (GHSA-gmc2-2x9w-cgh9 / CVE-2026-47683)

この脆弱性（GHSA-gmc2-2x9w-cgh9、CVE-2026-47683）は、Node.jsでサンドボックス環境を提供する人気のライブラリ `vm2` に存在します。深刻度は「High」とされており、サービス拒否（Denial of Service, DoS）攻撃につながる可能性があります。

`vm2` には、サンドボックス内のコードがホスト側のメモリを過剰に消費するのを防ぐために `bufferAllocLimit` というメモリ割り当て制限機能が導入されていました。しかし、この脆弱性では、特定のJavaScript API (`Buffer.concat` および `Buffer.from` の特定の形式) を悪用することで、このメモリ制限をバイパスし、ホスト側のプロセスに大量のメモリを割り当てさせることが可能になります。これにより、ホストプロセスのクラッシュ（Out Of Memory, OOM）やサービス停止を引き起こす恐れがあります。

技術的な詳細：なぜ制限がバイパスされるのか？

`vm2` は、サンドボックス内のコードがホストの `Buffer` オブジェクトを介してメモリを割り当てる際に、`checkBufferAllocLimit` というヘルパー関数を使って割り当てサイズをチェックします。これは、`Buffer.alloc()` や `Buffer.allocUnsafe()` といった基本的なメモリ割り当て関数にラッパーを適用することで実現されています。

しかし、この脆弱性は、`Buffer.concat(list, totalLength)` および `Buffer.from(arrayLike)` という2つのAPIパスが、この `checkBufferAllocLimit` を経由せずにNode.jsの内部的なC++メモリ割り当て関数を直接呼び出すことを利用しています。

結果として、サンドボックス内のたった数行のコードで、ホストプロセスのメモリ使用量を急増させ、システムリソースを枯渇させることが可能になるのです。

PoC (Proof of Concept) による実証

以下は、提供されたPoCコードの抜粋です。`bufferAllocLimit` が1024バイトに設定されているにもかかわらず、`Buffer.concat` と `Buffer.from` を使用した場合は、数メガバイトのメモリが割り当てられ、制限がバイパスされていることがわかります。

実行結果は以下のようになります（`vm2@3.11.3` で実行した場合）。

ご覧の通り、`Buffer.alloc` は正しく制限されますが、`Buffer.concat` と `Buffer.from` は制限をすり抜け、大量のメモリを確保していることが確認できます。

影響と潜在的なリスク

この脆弱性の主な影響はサービス拒否です。`vm2` を利用して任意の（信頼できない）コードを実行しているNode.jsアプリケーションは、悪意のあるサンドボックスコードによって、意図しないメモリ消費を引き起こされ、以下のような事態に陥る可能性があります。

フロントエンド開発者が直接 `vm2` を利用するケースは稀ですが、もしあなたのチームがバックエンドでユーザー提供のスクリプトを実行するサービスを運営している場合や、CI/CD環境でサードパーティのスクリプトを `vm2` のようなサンドボックスで実行している場合は、この脆弱性が直接的なリスクとなります。また、間接的な依存関係により脆弱なバージョンがプロジェクトに含まれている可能性も考慮すべきです。

対策

最も重要な対策は、`vm2` ライブラリを脆弱性が修正されたバージョンにアップデートすることです。

まとめ

今回の `vm2` のDoS脆弱性は、Node.js環境におけるセキュリティの重要性を改めて私たちに教えてくれます。フロントエンドエンジニアであっても、Node.jsエコシステムのセキュリティ動向には常にアンテナを張り、プロジェクトで使用する依存ライブラリの脆弱性情報に注意を払う必要があります。

定期的な依存ライブラリの監査と、修正版がリリースされた際の迅速なアップデートを心がけ、安全な開発環境とアプリケーション運用を維持しましょう。