はじめに：なぜフロントエンドエンジニアが知るべきか？

現代のフロントエンド開発において、Node.jsはビルドツール（Webpack, Vite, Rollupなど）、開発サーバー、テストフレームワーク、CI/CDスクリプトなど、多岐にわたる役割を担っています。そのため、直接フロントエンドのコードに現れないNode.js製のツールやバックエンドAPIの脆弱性であっても、私たちの開発環境やCI/CDパイプライン、あるいはアプリケーションが連携するバックエンドシステムに深刻な影響を及ぼす可能性があります。今回は、そのようなNode.jsエコシステムに存在するOSコマンドインジェクションの脆弱性について、具体的な事例を交えながら解説します。

脆弱性の概要：`token-optimizer-mcp`におけるOSコマンドインジェクション

今回報告された脆弱性 (GHSA-49mq-fc6q-3h46 / CVE-2026-55157) は、Node.js製のサーバーサイドツールである `@ooples/token-optimizer-mcp` のバージョン5.0.1以前に存在します。深刻度は「高 (High)」と評価されており、その原因はCWE-78「OSコマンドインジェクション」に分類されます。

具体的には、`smart_user`ツールの`get-user-info`操作において、`username`引数にユーザーから渡された文字列がシェルコマンドに不適切に組み込まれることで発生します。この脆弱性を悪用されると、攻撃者は`token-optimizer-mcp`サーバーが動作しているシステム上で、任意のOSコマンドを実行できるようになります。

技術的詳細：二重引用符では防げないコマンドインジェクション

脆弱なコードパスでは、`username`引数が以下のようなシェルコマンドに挿入され、`execAsync()`関数によって実行されます。

`getent passwd "${username}" || grep "^${username}:" /etc/passwd`

一見すると、`username`が二重引用符で囲まれているため安全に見えるかもしれません。しかし、POSIXシェルでは二重引用符の内側であっても、コマンド置換（例: `$(...)`やバッククォート `` `...` `` ）は評価されてしまいます。この特性が悪用される点がこの脆弱性の核心です。

例えば、攻撃者が`username`引数として次の文字列を渡した場合を考えてみましょう。

`$(id > /tmp/TOKEN_OPTIMIZER_SMART_USER_ID)`

この入力が上記のシェルコマンドに組み込まれると、まず`$(id > /tmp/TOKEN_OPTIMIZER_SMART_USER_ID)`の部分がシェルによって解釈・実行されます。これにより、`id`コマンドの出力が`/tmp/TOKEN_OPTIMIZER_SMART_USER_ID`ファイルに書き込まれ、結果として攻撃者はサーバー上で任意のコマンドを実行できることになります。

攻撃による影響

このOSコマンドインジェクション脆弱性が悪用されると、攻撃者は`token-optimizer-mcp`サーバーを実行しているユーザーの権限で、システム上で任意のコマンドを実行できてしまいます。これにより、以下のような深刻な被害が発生する可能性があります。

<ul><li>機密情報の窃取（例：設定ファイル、データベースのクレデンシャルなど）</li><li>システムの改ざんや破壊</li><li>マルウェアのインストール</li><li>他のシステムへの侵入の足がかり</li><li>サービス停止（DoS）</li></ul>

もし、貴社のCI/CDパイプラインや開発環境でこの種の脆弱性を持つツールが間接的に使用されていた場合、悪意のあるリクエスト一つでビルドエージェントや開発用サーバーが侵害され、深刻な情報漏洩や開発プロセスの破壊につながる可能性も否定できません。

対策と予防策

このようなOSコマンドインジェクションからシステムを保護するためには、以下の対策が重要です。

まずは、脆弱性が修正されたバージョンがリリースされているかを確認し、速やかにアップデートを行うことが最優先です。もし直接`token-optimizer-mcp`を使用していなくても、依存関係ツリーに含まれている可能性があるため、`npm audit`などのツールで定期的にチェックすることをお勧めします。

ユーザーからの入力は常に信頼せず、アプリケーションの期待する形式と合致するかどうかを厳しく検証し、無害化（サニタイズ）することが不可欠です。ホワイトリスト方式で、許可された文字セットやパターンのみを受け入れるように実装しましょう。

Node.jsで外部コマンドを実行する場合、`child_process`モジュールを使用することが一般的です。この際、ユーザー入力を直接シェルコマンド文字列に結合することは避けるべきです。代わりに、`child_process.spawn()`関数を使用し、コマンドと引数を配列として渡す方法を推奨します。これにより、シェルを介さずにコマンドを実行でき、シェルによるコマンド置換を防ぐことができます。

例：`child_process.spawn('getent', ['passwd', username], { shell: false });`

サーバーやプロセスは、その機能に必要な最小限の権限で実行するように設定しましょう。万が一コマンドインジェクションが発生しても、攻撃者の行動範囲を限定し、被害を最小限に抑えることができます。

まとめ

今回の脆弱性は、二重引用符の使用だけではシェルコマンドインジェクションを完全に防げないという、シェルスクリプトの基本的な挙動に起因するものでした。Node.jsを用いた開発に深く関わるフロントエンドエンジニアにとって、サーバーサイドのセキュリティリスクは決して無関係ではありません。

自身のコードだけでなく、利用しているライブラリやツール、そして連携するバックエンドシステムにも目を向け、常にセキュリティリスクを意識した開発プラクティスを心がけることが、安全なWebアプリケーション開発には不可欠です。この機会に、ご自身のプロジェクトにおける外部コマンド実行部分やユーザー入力の扱いについて、再確認してみてはいかがでしょうか。