1. セキュリティ対策ラボ
  2. セキュリティニュース
  3. 情報セキュリティ
  4. Axiosの脆弱性がNode.jsのプロセスをクラッシュさせる可能性(CVE-2025-58754)

Axiosの脆弱性がNode.jsのプロセスをクラッシュさせる可能性(CVE-2025-58754)

セキュリティニュース

投稿日時: 更新日時:

Axiosの脆弱性がNode.jsのプロセスをクラッシュさせる可能性(CVE-2025-58754)

人気のHTTPクライアント「Axios」のNode.js実装で、「data:」スキームのURLを与えるだけで無制限にメモリを確保し、

プロセスをクラッシュさせられる脆弱性（CVE-2025-58754）が明らかになりました。

脆弱性の対象バージョン

Axios 1.11.0未満（<1.11.0）のNode.js実行時に影響します。

対策バージョン

Axios 1.12.0で修正済みです。

脆弱性の概要

通常、AxiosのHTTPレスポンスはmaxContentLengthやmaxBodyLengthでサイズ上限を監視します。

ところがNode用HTTPアダプタは、URLが「data:」で始まる場合にHTTPリクエストを発行せず、内部のfromDataURI()でBase64ペイロード全体を一気にデコードしてBuffer/Blob化し、擬似的な200レスポンスとして返します。


この経路にはサイズ上限のチェックが存在せず、responseType: 'stream'を指定していても丸ごとメモリ展開が行われます。

攻撃者が巨大なdata URIを渡すだけで、Nodeのヒープが膨張しOut of Memory（OOM）でプロセスが落ちる、という挙動が容易に引き起こされます。

関連記事

Microsoftが偵察から仮想通貨 盗難まで行うトロイの木馬「StilachiRAT」を発見Microsoftが偵察から仮想通貨 盗難まで行うトロイの木馬「StilachiRAT」を発見 オンラインコード/JSON 整形ツールに貼り付けた機密情報が世界に晒されている-秘密鍵や個人情報などが大量に漏洩オンラインコード/JSON 整形ツールに貼り付けた機密情報が世界に晒されている-秘密鍵や個人情報など大量に漏洩 SonicWall(ソニックウォール)、不正アクセスで全クラウドバックアップ 顧客のファイアウォール 設定が盗まれるSonicWall(ソニックウォール)、不正アクセスで全クラウドバックアップ 顧客のファイアウォール 設定が盗まれる Gmailのアカウント 情報、最大25億人分が漏洩の可能性-パスワード変更を推奨Googleへ不正アクセス、Gmail アカウント 情報の最大25億人分が漏洩の可能性-パスワード変更を推奨 OpenAI、サードパーティーツールのインシデントで個人情報漏洩の可能性OpenAI、サードパーティーツールのインシデントで個人情報漏洩の可能性 Microsoft Teamsのゲストチャットの不具合で、ユーザーが気づかずにサイバー攻撃の脅威に晒されるMicrosoft Teamsのゲストチャットの不具合で、ユーザーが気づかずにサイバー攻撃の脅威に晒される ランサムウェア グループ Qilin(キリン)とはランサムウェア グループ Qilin(キリン、キーリン)とは手口・国内被害一覧・対策【随時更新】 特権IDは王国の鍵-Googleが特権アカウント監視ガイドを公表特権IDは王国の鍵-Googleが特権アカウント監視ガイドを公表 保険見直し本舗 グループ、ランサムウェアによるサイバー攻撃で510万件の個人情報漏洩の可能性保険見直し本舗、ランサムウェアによるサイバー攻撃で約510万件の個人情報漏洩の恐れ