JVNDB-2026-004109

isaacsのnode-tarにおける複数の脆弱性

node-tarはNode.js用のtarライブラリであり、バージョン7.5.3以下に競合状態の脆弱性があります。この脆弱性は、`path-reservations`システムにおけるUnicodeパスの衝突処理が不完全であることが原因です。macOSのAPFSのような大文字・小文字を区別しない、または正規化を区別しないファイルシステム上（テスト済み）では、ライブラリは衝突するパス（例: "ss"の代わりとなる特殊文字）のロックに失敗し、それらが並行して処理されることを許してしまいます。このため、ライブラリの内部並行処理防止機構が回避され、競合状態を利用したシンボリックリンク中毒攻撃が可能となります。ライブラリは同一パスのメタデータ検査とファイル操作を直列化するために`PathReservations`システムを使用していますが、この脆弱性によりエントリが同時に上書きされる競合状態が発生します。この競合状態は任意ファイルの上書きを引き起こします。この脆弱性はmacOS上（APFS/HFS+）でnode-tarを使用するユーザーおよびシステムに影響を与えます。Unicode正規化を無視するファイルシステム（例: "ss"がinode衝突を起こすAPFS）上では、衝突パスの順序が正しく維持されません。これにより攻撃者は悪意のあるtarアーカイブ内で衝突するファイル名を使用して、内部の並列ロック（`PathReservations`）を回避できます。バージョン7.5.4のパッチでは、`path-reservations.js`をターゲットファイルシステムの挙動に合わせた正規化形式（例: `NFKD`）に更新し、続いて`toLocaleLowerCase('en')`および`toLocaleUpperCase('en')`を適用しています。すぐにアップグレードできないユーザーには、プログラム的にnode-tarを使用して任意のtarballデータを展開する場合、npmが行うようにすべての`SymbolicLink`エントリをフィルタリングし、このファイルシステム上のファイル名衝突問題による任意ファイル書き込みを防御することを推奨します。

isaacs

• node-tar 7.5.4 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub Advisory Database : Race Condition in node-tar Path Reservations via Unicode Ligature Collisions on macOS APFS  Advisory  isaacs/node-tar  GitHub

1. Unicode エンコーディングの不適切な処理(CWE-176) [その他]
2. クロスサイトリクエストフォージェリ(CWE-352) [その他]
3. Time-of-check Time-of-use (TOCTOU) 競合状態(CWE-367) [その他]
4. Time-of-check Time-of-use (TOCTOU) 競合状態(CWE-367) [NVD評価]

1. CVE-2026-23950

1. National Vulnerability Database (NVD) : CVE-2026-23950
2. 関連文書 : normalize out unicode ligatures  isaacs/node-tar@3b1abfa  GitHub

• [2026年02月20日]
    掲載