tenable解説 Moment.js < 2.19.3 の正規表現のサービス拒否

脆弱性名(Ja)	Moment.js < 2.19.3 の正規表現のサービス拒否
脆弱性名(En)	Moment.js < 2.19.3 Regular Expression Denial of Service

Moment.jsは、JavaScriptで日付や時間を扱うための非常に便利なライブラリで、特に日時のフォーマット変換や比較、タイムゾーンの調整などを簡単に行えるため、世界中の開発者に広く利用されています。
ウェブアプリケーションのフロントエンドとバックエンドの両方よく使われます。

バージョン2.19.3より前のMoment.jsには、特定の形式の文字列を日付として解析する際、正規表現の無限ループが発生し、サーバーのリソースが枯渇することでサービスが停止する脆弱性（CVE-2017-18214）が存在します。

この脆弱性は、正規表現処理の不備を利用してDoS攻撃を実行されるリスクがあり、システムのパフォーマンスが著しく低下するか、完全に停止してしまう可能性があります。
特にサーバーのリソースが限られている場合、この攻撃は深刻な影響を及ぼし、顧客に対するサービスの提供に支障をきたします。

例えば、リアルタイムで動作するシステムや、ミッションクリティカルなサービスが攻撃を受けた場合、業務停止や収益損失に直結します。

Moment.jsのバージョンが2.19.3より古い場合
「検出されたテクノロジー」にて、Moment JS Framework（v <2.19.3）が検出している。
- 該当ページは分かるが、どの部分で使われているか分からない場合、
  tenable解説「検出されたテクノロジー」で検出された箇所を特定する
  をご参照ください。

Moment.jsを2.19.3以上にアップグレードすることで、この脆弱性は修正されます。

npm install moment@2.19.3

# 最新バージョンの利用の場合: 
npm install moment@latest

正規表現に渡される文字列の形式を厳密にチェックし、不正なデータが入力されるのを防ぐことで、サーバーに過度な負担をかけないようにします。

Tenable Plugin	https://jp.tenable.com/plugins/was/112446
GitHub Advisory Database	https://github.com/advisories/GHSA-446m-mv8f-q348
CVE	https://nvd.nist.gov/vuln/detail/CVE-2017-18214