Node.jsの権限モデルに欠陥があるため、プロセスが読み取り権限しか持っていない場合でも、`futimes()`を介してファイルのアクセスおよび修正のタイムスタンプを変更できます。`utimes()`とは異なり、`futimes()`は書き込み権限のチェックを正しく適用しないため、読み取り専用ディレクトリ内のファイルのメタデータを変更してしまいます。この挙動により、ログの信頼性が低下し、活動を隠蔽する目的でタイムスタンプを操作する悪用が可能となります。この脆弱性はNode.js v20、v22、v24、およびv25の権限モデルを使用するユーザーに影響を与えます。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。