セキュリティ

SECURITY

公開：2025-05-23

Hugging Face transformersライブラリv4.48.3以前のReDoS脆弱性CVE-2025-2099が公開、v4.50.0で修正済み

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

• Hugging Faceのtransformersライブラリv4.48.3以前のバージョンの脆弱性が公開された
• `preprocess_string()`関数における正規表現の処理に脆弱性があり、DoS攻撃が可能
• v4.50.0以降のバージョンで修正済み

Hugging Faceのtransformersライブラリ脆弱性に関する情報公開

Protect AIは2025年5月19日、Hugging Faceのtransformersライブラリv4.48.3以前のバージョンの脆弱性CVE-2025-2099に関する情報を公開した。この脆弱性は、`transformers.testing_utils`モジュールの`preprocess_string()`関数にある正規表現の処理に起因するRegular Expression Denial of Service (ReDoS)攻撃の可能性があるのだ。

脆弱性のある正規表現は、docstring内のコードブロックを処理する際に使用されており、改行文字が多い入力に対して指数関数的なバックトラッキングを引き起こす。攻撃者は特別に細工されたペイロードを提供することで、高いCPU使用率を引き起こし、アプリケーションの停止につながる可能性がある。これは事実上、サービス拒否(DoS)攻撃となる。

この脆弱性は、CWE-1333: Inefficient Regular Expression Complexityに分類され、CVSSスコアは5.3(MEDIUM)と評価されている。Hugging Faceはv4.50.0でこの脆弱性を修正しており、ユーザーは速やかにアップデートを行う必要があるのだ。

脆弱性詳細と修正情報

ReDoS攻撃について

ReDoSとは、正規表現の処理における計算量爆発によってサービス拒否攻撃を引き起こす脆弱性のことだ。複雑な正規表現を使用すると、入力文字列によっては処理時間が指数関数的に増加する可能性がある。

• 正規表現の複雑さ
• 入力文字列の長さ
• 正規表現エンジンの実装

これらの要因によって、攻撃者は意図的に悪意のある入力文字列を作成し、システムのリソースを消費させることでサービスを停止させることができるのだ。

CVE-2025-2099に関する考察

Hugging FaceのtransformersライブラリにおけるReDoS脆弱性の発見は、広く利用されているライブラリにおけるセキュリティリスクを改めて認識させるものだ。迅速な修正と情報公開は評価できるものの、今後も同様の脆弱性が発見される可能性は否定できない。開発者は、ライブラリのアップデートを常に最新の状態に保つとともに、正規表現の使用には細心の注意を払う必要があるだろう。

この脆弱性に対する対策としては、ライブラリのアップデートが最も有効な手段である。さらに、正規表現の設計段階において、複雑な正規表現を避け、可能な限り簡潔で効率的な正規表現を使用することが重要となる。定期的なセキュリティ監査の実施も、潜在的な脆弱性の早期発見に繋がるだろう。

今後、より高度な正規表現の検証ツールや、安全な正規表現の記述を支援するツールの開発が期待される。また、開発者教育を通じて、安全なコーディングプラクティスを普及させることも重要だ。これらの取り組みを通じて、同様の脆弱性の発生を抑制していく必要があるのだ。

参考サイト

1. ^ CVE. 「CVE Record: CVE-2025-2099」. https://www.cve.org/CVERecord?id=CVE-2025-2099, (参照 25-05-23).
2805

※上記コンテンツはAIで確認しておりますが、間違い等ある場合はコメントよりご連絡いただけますと幸いです。

「セキュリティ」に関するコラム一覧「セキュリティ」に関するニュース一覧