はじめに：あなたのユーザーは大丈夫？

フロントエンド開発において、HTTPリクエストの送信に広く使われているライブラリ「Axios」。そのAxiosの古いバージョンに、ユーザーのブラウザタブをフリーズさせてしまう深刻な脆弱性が発見されました。これは「ReDoS（Regular Expression Denial of Service）」と呼ばれるもので、アプリケーションの可用性を著しく低下させ、ユーザー体験を損なう可能性があります。本記事では、この脆弱性の詳細、影響範囲、そして私たちフロントエンドエンジニアが今すぐ取るべき対策について、技術的に深く掘り下げて解説します。

脆弱性の概要：Axiosで何が起きるのか？

今回報告された脆弱性 (ID: GHSA-hfxv-24rg-xrqf, CVE: CVE-2026-44496) は、Axiosのバージョン0.x系（0.32.0未満）および1.x系（1.16.0未満）に存在します。問題は、AxiosがXSRF（Cross-Site Request Forgery）保護のためにクッキー名を読み取るプロセスに潜んでいます。

Axiosは`document.cookie`からクッキーを読み出す際、設定された`xsrfCookieName`を元に、クッキー文字列から該当する値を取り出すための正規表現を動的に生成します。しかし、この生成時に`xsrfCookieName`に含まれる特殊文字（例: `.`, `+`, `*`など）が適切にエスケープ（無効化）されないまま、正規表現パターンに組み込まれてしまう問題がありました。

ReDoSは、正規表現の処理が特定の悪意のある入力によって極端に遅くなり、サービス拒否（Denial of Service）を引き起こす脆弱性です。特に、繰り返し（`+`, `*`）やOR（`|`）などの複雑な正規表現パターンと、それらとマッチしうる入力が組み合わさった場合に、「カタストロフィック・バックトラッキング」と呼ばれる現象が発生します。

カタストロフィック・バックトラッキングとは、正規表現エンジンがマッチングを試みる際に、無限に近いような組み合わせの探索を行ってしまう状態を指します。これにより、CPUを長時間占有し、他の処理が一切行えなくなってしまいます。

具体的な発生メカニズムと影響

攻撃者は、例えば`xsrfCookieName`の設定値や、内部のクッキー処理関数に渡されるクッキー名に、`(.+)+$`のような「カタストロフィック・バックトラッキング」を引き起こす悪意のある正規表現パターンを含んだ文字列を注入することができます。Axiosはこの未処理のクッキー名をそのまま正規表現パターンに組み込んでしまうため、正規表現エンジンが重い処理に陥る、というわけです。

この脆弱性が最も深刻な影響を与えるのは、ブラウザ環境でAxiosを使用している場合です。JavaScriptはシングルスレッドで動作するため、正規表現の処理に数秒から数分といった時間がかかると、その間、JavaScriptの実行が完全にブロックされてしまいます。これにより、WebアプリケーションのUIの描画やユーザーイベントの処理が一切行えなくなり、ブラウザタブが文字通り「フリーズ」してしまいます。これはユーザーがアプリを操作できなくなることを意味し、極めて深刻なユーザー体験の低下を招きます。

この脆弱性によって、ユーザーの認証情報が漏洩したり、リクエスト内容が改ざんされたりするリスクはありません。影響は「アプリケーションの可用性低下（動作停止）」に限定されます。しかし、ユーザーがサービスを利用できなくなるという点で、ビジネスへの影響は非常に大きいと言えるでしょう。

今すぐ取るべき対策

最も確実かつ推奨される対応策は、Axiosを影響のないバージョンにアップデートすることです。この脆弱性は、以下のバージョンで修正されています。

プロジェクトの依存関係を確認し、`package.json`を更新して、速やかにアップデートを実行してください。

例:`npm install axios@latest` または `yarn add axios@latest`

やむを得ず直ちにアップデートできない場合は、以下の回避策を検討してください。

まとめ

AxiosのReDoS脆弱性は、ブラウザを利用するWebアプリケーションにとって非常に深刻な可用性の問題を引き起こします。ユーザー体験を著しく損なうだけでなく、アプリケーションが利用できなくなることで、ビジネス機会の損失にも繋がりかねません。フロントエンドエンジニアとして、この脆弱性を深く理解し、速やかにAxiosを最新バージョンにアップデートすることが最も重要です。もしアップデートが困難な場合でも、上記で紹介した回避策を適用してリスクを最小限に抑えましょう。日頃から使用しているライブラリのセキュリティ情報に注意を払い、安全で堅牢なWebアプリケーション開発を心がけましょう。