music-metadata の脆弱性 (CVE-2026-107392)
概要
music-metadata に 脆弱性 (CVE-2026-107392) が存在。不正な操作・情報露出のリスクがあります。DsfParser.parseChunks 経由で攻撃可能。対策: 11.12.3 以上に更新。
原文の説明
取得元が公開している説明をそのまま載せています (多くは英語)。
Summary
DsfParser.parseChunks skips an unrecognised chunk's payload with an un-awaited call:
this.tokenizer.ignore(Number(chunkHeader.size) - ChunkHeader.len); // lib/dsf/DsfParser.js:51 — no await
ChunkHeader.len is 12. A crafted .dsf chunk with id != 'fmt ' and size in 0..11 makes the
argument negative; strtok3 (≥ 10.3.5) throws RangeError on a negative ignore. Because the call
is fire-and-forget, the rejection is detached from the parseBuffer() promise chain → unhandled
rejection → Node's default (≥ 15) crashes the process — after parseBuffer() already
resolved, so a caller's try/catch catches nothing and is still taken down.
Residual of GHSA-v6c2-xwv6-8xf7: the ASF site was fixed in 11.12.3 (size validation) and strtok3
now throws on negative ignore; the DSF site was never validated, and its missing await
escalates that throw into an uncatchable crash.
Root cause (lib/dsf/DsfParser.js:34-56)
while (bytesRemaining >= ChunkHeader.len) { // ChunkHeader.len = 12
const chunkHeader = await this.tokenizer.readToken(ChunkHeader); // { id, size }
switch (chunkHeader.id) {
case 'fmt ': { ...; return; }
default: this.tokenizer.ignore(Number(chunkHeader.size) - ChunkHeader.len); break; // size<12 -> negative, no await
}
bytesRemaining -= chunkHeader.size;
}
strtok3 AbstractTokenizer.ignore (L78-79): if (length < 0) throw new RangeError('ignore length must be ≥ 0 bytes');…
出典: GitHub Security Advisories (Global) NVD GitHub Advisory
自動生成の要約
取得元のデータ (CVSS・CWE・影響バージョンなど) から SecPulse が定型文で組み立てた要約です。AI は使っていません。正確な内容は下の原文と参照URLで確認してください。
music-metadata という製品で、CVE-2026-107392 という番号がついた弱点 (脆弱性) が見つかりました。
悪い人がインターネット越しに DsfParser.parseChunks のような特定の入り口を狙うことで、製品の中を不正に操作できてしまいます。
不正な操作・情報露出のリスクがあります。重要度は CVSS スコア 6.2/10 です。
対策: music-metadata を 11.12.3 以上に更新してください。
心配なら、システム担当者や製品の公式サイトで「music-metadata CVE-2026-107392」を検索してください。
CVE-2026-107392 (music-metadata) — CWE-248 / CVSS v3 6.2
攻撃ベクター: ローカル / 認証不要 / 被害者操作不要
脆弱箇所: DsfParser.parseChunks / ChunkHeader.len / size / RangeError
修正バージョン: 11.12.3 (即時適用推奨)
対応方針: 1) SBOMで影響バージョン横断確認, 2) ステージング検証→本番更新, 3) WAF/プロキシで該当エンドポイントを監視, 4) ログでIOC調査。
参考: 当ページの『参照URL』の GHSA / vendor advisory / patched release を参照。
music-metadata に 脆弱性 (CWE-248) があります。攻撃者は DsfParser.parseChunks を経由して脆弱な処理に到達し、認証なしで悪用できます。
music-metadata の影響バージョンはベンダーのアドバイザリで確認してください。攻撃箇所: DsfParser.parseChunks / ChunkHeader.len / size / RangeError。
重要度: 中 (CVSS 6.2/10)。不正な操作・情報露出のリスクがあります。
11.12.3 に更新してください。
修正版が未提供時は、影響機能の無効化・WAFルール・ネットワークACLでの遮断を検討。
Webサーバ・プロキシ・WAFログで該当CVEのIOCに合致する不審リクエストを検索。SBOM/依存ファイルで影響バージョンを横断確認。
対応アクション
SOC/SREチームが順番に実行すべき具体的なステップとコマンド例
-
1影響範囲の特定 identify
grep -r 'music-metadata' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
music-metadataを grep し、稼働しているサービス・バージョンを把握する。 -
2パッチ適用 patch
Upgrade music-metadata to 11.12.3ステージング環境で 11.12.3 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
-
3事後検証 verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
影響パッケージ
参照URL
- exploit github.com
- patch security-advisories@github.com
- patch security-advisories@github.com
- patch security-advisories@github.com
- web github.com