概要
npm install したときに、high severity vulnerabilitiesが発生
npm audit fixで解消せず
npm-force-resolutionsを活用して解決を目指す
> npm install
...
10 high severity vulnerabilities
Some issues need review, and may require choosing
a different dependency.
Run `npm audit` for details.
原因
とあるパッケージの依存関係にあるパッケージが古いバージョンやなんらかの原因により、脆弱性があると判断されている様子
一般的な対応
npm audit fix
or
npm audit fix --force
で対応可能らしい
今回のケースでは上記のコマンドで対応不可だったので
詳しく調べてみる
対応
何が起こっているか確認する
npm auditを試す
> npm audit
# npm audit report
glob-parent <5.1.2
Severity: high
glob-parent before 5.1.2 vulnerable to Regular Expression Denial of Service in enclosure regex - https://github.com/advisories/GHSA-ww39-953v-wcq6
No fix available
node_modules/babel-cli/node_modules/glob-parent
node_modules/glob-base/node_modules/glob-parent
chokidar 1.0.0-rc1 - 2.1.8
Depends on vulnerable versions of anymatch
Depends on vulnerable versions of glob-parent
node_modules/babel-cli/node_modules/chokidar
babel-cli *
Depends on vulnerable versions of babel-register
Depends on vulnerable versions of chokidar
node_modules/babel-cli
glob-base *
Depends on vulnerable versions of glob-parent
node_modules/glob-base
parse-glob >=2.1.0
Depends on vulnerable versions of glob-base
node_modules/parse-glob
micromatch 1.6.2 - 2.3.11
Depends on vulnerable versions of parse-glob
node_modules/babel-cli/node_modules/micromatch
anymatch 1.2.0 - 1.3.2
Depends on vulnerable versions of micromatch
node_modules/babel-cli/node_modules/anymatch
glob-parentの5.1.2未満は脆弱性があるようで、これが原因になっている様子
現在の状態を確認
npm lsで確認してみる
npm ls glob-parent
app@0.1.0 ...
├─┬ babel-cli@6.26.0
│ └─┬ chokidar@1.7.0
│ ├─┬ anymatch@1.3.2
│ │ └─┬ micromatch@2.3.11
│ │ └─┬ parse-glob@3.0.4
│ │ └─┬ glob-base@0.3.0
│ │ └── glob-parent@2.0.0
│ └── glob-parent@2.0.0
└─┬ webpack-dev-server@4.15.1
└─┬ chokidar@3.5.3
└── glob-parent@5.1.2
glob-parent@2.0.0が解消されれば良さそうと見立てる
解決方法
npm-force-resolutionsを使います
> npm i npm-force-resolutions
`package.json'にどこまでバージョンを上げるか書き加えます
今回は5.1.2まで上げてみます
package.json
"resolutions": {
"glob-parent": "^5.1.2"
}
実行します
> npx npm-force-resolutions
clean install します
npm ci
...
found 0 vulnerabilities
脆弱性はなさそうですね
最後に
無事バージョンを上げることが出来、脆弱性は解消できました
改めて'npm ls'にてバージョンを確認したところpackage.lock.json的には違和感の残る結果の様でした
また今後、別の方法も模索出来ればと...
> npm ls glob-parent
app@0.1.0 ...
├─┬ babel-cli@6.26.0
│ └─┬ chokidar@1.7.0
│ ├─┬ anymatch@1.3.2
│ │ └─┬ micromatch@2.3.11
│ │ └─┬ parse-glob@3.0.4
│ │ └─┬ glob-base@0.3.0
│ │ └── glob-parent@^5.1.2 invalid: "^2.0.0" from node_modules/glob-base
│ └── glob-parent@^5.1.2 invalid: "^2.0.0" from node_modules/babel-cli/node_modules/chokidar
└─┬ webpack-dev-server@4.15.1
└─┬ chokidar@3.5.3
└── glob-parent@^5.1.2 invalid: "~5.1.2" from node_modules/chokidar