はじめに

日本のフロントエンドエンジニアの皆さん、こんにちは。今回は、バックエンドのフィーチャーフラグ管理ツールとして広く使われているUnleashサーバーに発見された、深刻度「高」のDoS（サービス拒否）脆弱性（GHSA-r5pq-6chh-j3xp / CVE-2026-63462）について解説します。直接Unleashサーバーを運用する機会は少ないかもしれませんが、フィーチャーフラグに依存するフロントエンドアプリケーションの開発者として、この脆弱性がもたらす影響と対策を理解することは非常に重要です。

脆弱性の概要と攻撃メカニズム

この脆弱性は、認証されていない攻撃者が、たった1つの特定のPOSTリクエストを送信するだけでUnleashサーバー全体をクラッシュさせることができるというものです。具体的には、OpenAPIでバリデーションされるエンドポイント（例: `/edge/validate` や `/edge/issue-token` のような匿名アクセス可能なAPI）に対し、深くネストされたJSONオブジェクトを含むリクエストボディを送信することで発生します。このリクエストボディはわずか10KB程度と非常に小さく、容易に攻撃が実行可能です。

攻撃が成功すると、Unleashサーバーは即座に停止し、再起動ポリシーが設定されていなければサービスが復旧することはありません。また、攻撃者がリクエストを繰り返し送信することで、サーバーが再起動したとしても継続的にダウンさせることが可能です。

技術的な根本原因：`JSON.stringify` とコールスタックの限界

この脆弱性の核心は、Unleashサーバーがリクエストボディのバリデーションに失敗した際のエラーメッセージ生成処理にあります。エラーが発生した際、Unleashは問題となったリクエストボディの値を、そのまま`JSON.stringify()`関数を使って文字列化しようとします。ここがポイントです。

`JSON.stringify()`は、引数として渡されたオブジェクトを再帰的に走査して文字列に変換します。もし、リクエストボディに数千レベルもの深いネストを持つJSONデータ（例えば `[[[[...]]]]` のような構造）が含まれていた場合、`JSON.stringify()`はそのネストの深さだけ再帰呼び出しを繰り返します。結果として、V8エンジンのコールスタックの最大深度を超え、`RangeError: Maximum call stack size exceeded` が発生してしまいます。

さらに問題なのは、この`RangeError`がExpressのエラーハンドリングミドルウェア内で適切に`try/catch`されていない点です。Node.jsプロセスには`uncaughtException`ハンドラが登録されておらず（`unhandledRejection`のみ）、同期的にスローされたエラーが捕捉されないため、最終的にNode.jsプロセスが`exit(1)`で強制終了してしまいます。リクエストボディをパースする段階でJSONのネスト深度制限が設けられていないことも、この問題に拍車をかけています。

フロントエンドエンジニアへの影響

Unleashサーバーは、バックエンド側でフィーチャーフラグを管理し、アプリケーションの機能のオンオフ、A/Bテストの切り替え、ユーザーごとのパーソナライズなど、多岐にわたる挙動を制御しています。多くのフロントエンドアプリケーションは、これらのフィーチャーフラグの値に基づいてUIの表示や機能の有効/無効を決定しています。

もしUnleashサーバーがこのDoS攻撃によって停止した場合、フィーチャーフラグの評価ができなくなり、結果としてフロントエンドアプリケーションは正しい挙動を示せなくなります。例えば、特定の機能が常に無効になる、A/Bテストのどちらかのパターンしか表示されない、あるいは全くロードされなくなるなど、ユーザー体験の著しい低下やサービスの中断に直結する可能性があります。

直接Unleashのコードを書かなくても、その安定性は皆さんの開発するフロントエンドアプリケーションの品質に直結することを認識しておく必要があります。

推奨される対策と考慮点

Unleashサーバーを運用している場合は、以下の対策を速やかに講じることを強く推奨します。

1. **Unleashのバージョンアップ**: 最も重要な対策は、脆弱性が修正された最新バージョンへの速やかなアップグレードです。Unleashの公式アナウンスやGitHubリポジトリを確認し、パッチが適用されたバージョンに更新してください。

2. **入力値の検証強化**: サーバーサイドで、JSONのネスト深度制限など、不正な形式の入力を早期に拒否するメカニズムの導入を検討します。これにより、今回のようなコールスタックオーバーフロー攻撃を防ぐことができます。

3. **堅牢なエラーハンドリング**: Node.jsアプリケーション全体で、`process.on('uncaughtException')`などのハンドラを適切に設定し、予期せぬ同期エラーによってプロセスが終了しないように対策を講じます。これにより、たとえエラーが発生しても、少なくとも gracefully にプロセスを終了させたり、ログを記録したりする機会が得られます。

4. **バックエンドチームとの連携**: フロントエンドエンジニアとしては、自身が関わるアプリケーションのバックエンドサービス（Unleashなど）の脆弱性情報を常に把握し、バックエンドチームと密に連携を取り、影響範囲と対策を共有することが重要です。

まとめ

Unleashサーバーの今回のDoS脆弱性は、Node.jsアプリケーションにおけるエラーハンドリングと入力値検証の重要性を改めて示しています。特に`JSON.stringify()`のような一見安全に見える関数でも、不正な入力に対して予期せぬ挙動を引き起こす可能性があることを忘れてはなりません。

フロントエンドエンジニアも、自身が関わるアプリケーションのインフラストラクチャや依存サービスにおける潜在的なリスクを理解し、チーム全体でセキュリティ意識を高め、情報共有を密に行っていくことが、サービスの安定稼働とユーザー保護のために不可欠です。