Viteの脆弱性GHSA-p4f5-76q4-ffq7｜開発サーバーでコード実行、確認方法と修正版

ViteのGHSA-p4f5-76q4-ffq7は、開発サーバーへ送られたHTTPリクエストから、サーバー上で任意のコードを実行できる脆弱性です。Viteが内部で生成する仮想モジュールへ、URL由来の値を適切に処理せず埋め込むことが原因です。許可範囲の外にあるファイルを読み取られる問題も含みます。[1]

Vite提供元の評価はCVSS 4.0で9.1（緊急）です。影響を判断するときは、インストールしたバージョンに加え、開発サーバーを誰が接続できる状態で起動しているかを確かめます。[1]

提供元は、--hostまたはserver.hostでViteの開発サーバーを明示的にネットワークへ公開しているアプリを対象に挙げています。[1]

• package.jsonの起動スクリプトとvite.config.*で、ホスト指定を確認します。
• コンテナのポート公開、開発用の共有環境、リバースプロキシを含め、信頼できない利用者が開発サーバーへ到達できないか確認します。
• Viteを間接的に使うフレームワークやVite+も、実際に起動する依存関係を確認します。

静的にビルドしたファイルだけを配信する構成は、告知にある開発サーバーへのリクエストという成立条件に当たりません。[1]

提供元の告知には、許可範囲外のファイルを読み取るPoCが掲載されています。コード実行へつながる仕組みも説明されていますが、確認した告知には実際の攻撃を観測したとの記載はありません。[1]

提供元が示す対象範囲と修正バージョンは次のとおりです。[1]

npmで6.4.6・7.3.8・8.1.7・8.3.7とVite+ 1.5.1の配布を確認しました。8.2.5はGitHubにリリースがありますが、確認時のnpmのバージョン一覧に存在せず、個別の取得も404でした。8.2系では、互換性を確認して8.3.7へ上げます。[2][3][4][5]

Vite 4・5系から6.4.6への移行ではメジャーバージョンが変わります。プラグインとフレームワークの対応も確認します。この表は今回の脆弱性への更新先です。更新前に採用するバージョンのリリースノートと、ほかのセキュリティ告知も確認してください。

1. 実際に使うバージョンを確認します。プロジェクトのディレクトリでnpm ls vite vite-plus rolldown --allを実行します。package.jsonだけでなくpackage-lock.jsonも確認し、フレームワークが持つ別のViteが残っていないか調べます。
2. 使っている系列に合わせて更新します。Viteを開発依存に直接登録している8.3系の例はnpm install --save-dev vite@8.3.7です。7系・6系は表の更新先を使い、間接依存なら親のフレームワークの更新方法に従います。pnpm・Yarnを使うプロジェクトでは、その管理ツールで依存関係とlockファイルを更新します。
3. 修正が反映されたことを確認します。再度npm ls vite vite-plus rolldown --allを実行し、lockファイルの差分とテスト・ビルドを確認します。実行中の開発サーバーを停止して起動し直し、共有環境や開発用コンテナも更新した依存関係で作り直します。

Vite 7.3.8・8.1.7・8.3.7のNode.js要件は^20.19.0 || >=22.12.0です。Vite+ 1.5.1は^22.18.0 || ^24.11.0 || >=26.0.0なので、Viteと同じ要件として扱わず、実行環境も確認します。[4][6][7][8]

提供元の告知には、更新とは別の回避策の記載はありません。影響条件は開発サーバーのネットワーク公開です。[1]

更新までの間は、外部へ公開している開発サーバーを停止し、ポート公開や中継経路を閉じます。開発を続ける必要がある場合も、利用者を限定した環境で、アクセス制限が実際に効いていることを確認します。ファイルの許可範囲を絞る設定だけに依存せず、サーバーへの到達自体を制限します。

Vite 8の問題のあるコードはRolldownのバイナリ内にあります。提供元は、Vite 8.1.7ではRolldown 1.1.7、Vite 8.2.5・8.3.7ではRolldown 1.2.17の修正を使うと説明しています。実際に配布されたVite 8.3.7はRolldown ~1.2.18を依存関係に指定しています。[1][3][6]

overridesやresolutionsでRolldownを古いバージョンへ固定している場合は、その指定も確認します。Viteの番号だけを変えて古いバイナリを残さないよう、依存関係とlockファイル、開発用コンテナの中身を合わせて更新します。