はじめに

皆さんの開発現場で、ファイル転送サービスを利用することはありますか？ もしNode.jsベースのファイル転送サービス「PsiTransfer」を使用している、あるいは過去に使用した経験がある方は、今回の脆弱性情報に特にご注目ください。この度、PsiTransferにおいて、パス・トラバーサルを悪用し、最終的にリモートコード実行（RCE）に至る極めて深刻な脆弱性（GHSA-533q-w4g6-5586 / CVE-2026-41180）が報告されました。フロントエンドエンジニアの皆さんが直接サーバサイドのインフラを管理する機会は少ないかもしれませんが、Node.jsアプリケーションのセキュリティの脅威を理解し、チーム全体で適切な対策を講じることは非常に重要です。

PsiTransferとは？

PsiTransferは、Node.jsで書かれたオープンソースのセルフホスト型ファイル転送サービスです。大容量ファイルの一時的な共有や、開発チーム内でのビルド成果物、各種設定ファイルの受け渡しなど、さまざまな用途で利用される可能性があります。手軽に導入できるため、社内での利用実績がある企業も少なくないかもしれません。

脆弱性の概要：高深刻度のRCEへ

今回発見された脆弱性は、深刻度「High」に分類され、PsiTransferバージョン2.4.1で確認されています。この脆弱性は、ファイルのアップロード機能におけるパス処理の不備（パス・トラバーサル）を悪用し、認証されていない攻撃者がサーバー上に悪意のある設定ファイルを書き込み、それを実行させることでリモートコード実行（RCE）を可能にするものです。つまり、攻撃者はサーバーを乗っ取り、任意の操作を実行できる状態になってしまいます。

脆弱性の詳細と攻撃メカニズム

この脆弱性の根源は、PsiTransferのファイルアップロード機能におけるパス処理の不整合にあります。

具体的には、

1. **パス・トラバーサル (Path Traversal)**: 攻撃者は、ファイルアップロード時に`../../`のような細工されたパス情報を含むリクエストを送信します。PsiTransferは、ファイルのバリデーション時と実際にディスクに書き込む際でパスの解釈が異なるため、この細工されたパスがバリデーションをすり抜け、本来アップロードされるべきディレクトリを抜け出し、アプリケーションのルートディレクトリなど任意の場所にファイルを書き込むことができてしまいます。

2. **悪意のある設定ファイルの書き込み**: 攻撃者はこのパス・トラバーサルを利用して、サーバー上で実行可能なJavaScriptコードを含むファイルを、例えばアプリケーションの起動時に読み込まれる`config.js`のような設定ファイルとして書き込みます。

3. **リモートコード実行 (RCE) の発生**: サーバーが再起動されるなどして、書き込まれた悪意のある`config.js`が読み込まれると、その中に仕込まれたJavaScriptコードがPsiTransferサービスアカウントの権限で実行されてしまいます。これにより、攻撃者はサーバー上で任意のコマンドを実行し、機密情報の窃取、データの改ざん、サービス停止など、深刻な被害を引き起こすことが可能となります。

ただし、この攻撃が成功するには特定の条件があります。PsiTransferがカスタムのアップロードディレクトリ（`PSITRANSFER_UPLOAD_DIR`）を使用しており、そのディレクトリ名がアプリケーション起動時に読み込まれる設定ファイルのパスと関連している場合に限られます。

フロントエンドエンジニアが知るべきこと

「これはバックエンドの話だから…」と安易に考えるのは危険です。Node.jsアプリケーションを開発・運用する上で、フロントエンドエンジニアも以下の点を理解しておくべきです。

1. **Node.jsアプリケーションにおける入力検証の重要性**: バックエンドのAPI開発において、ユーザーからの入力（特にファイル名やパス、URLなど）は常に厳密に検証されるべきです。これはフロントエンドから送られるデータがバックエンドでどのように処理されるかを理解する上で、共通認識として非常に重要です。

2. **パス処理の罠**: Node.jsアプリケーションでは`path`モジュールなどを利用してファイルパスを扱うことがありますが、ユーザー入力を直接パスとして利用する際は細心の注意が必要です。絶対パスへの変換、正規化、ホワイトリストによる検証など、安全なパス処理のプラクティスを理解しておくことは、あらゆるアプリケーション開発において役立ちます。

3. **サプライチェーンセキュリティの一環**: 自身が直接開発していなくとも、開発環境、CI/CDパイプライン、あるいは社内で利用しているツールやサービスに、このような脆弱性を持つコンポーネントが含まれていないか、常に注意を払う必要があります。間接的に自身の開発プロセスや成果物に影響を与える可能性も否定できません。

4. **最小権限の原則**: サーバーサイドのアプリケーションやサービスは、可能な限り最小限の権限で動作させるべきです。万が一RCEが発生しても、被害を限定できる可能性があります。

推奨される対策

もしPsiTransferを利用している場合は、速やかに以下の対策を講じてください。

1. **速やかなアップデート**: 開発元から修正済みバージョンが提供され次第、直ちにアップデートを適用してください。これが最も確実かつ推奨される対策です。

2. **暫定的な対策（アップデートまで）**: 修正バージョンがリリースされるまでの間、以下の対策を検討してください。

* ファイルアップロード（PATCHリクエスト）において、予期されるメタデータが存在しない場合はそのリクエストを拒否するなどの対応を検討してください。

* `PSITRANSFER_UPLOAD_DIR`などのアップロードディレクトリ名を、アプリケーションの起動時に読み込まれる可能性のある設定ファイル名（例：`config.js`, `settings.js`など）と重複しない、または関連性のない名前に変更することを強く推奨します。例えば、`uploads_unique_id_XXXXX`のように、予測不可能なランダムな文字列を含めることで攻撃の成功確率を下げることができます。

3. **一般的なセキュリティ強化**: アプリケーションを動作させるサーバーでWAFなどを導入し、怪しいURLパスやリクエストボディをフィルタリングする。また、サーバーのリソース監視を強化し、異常なファイル書き込みやプロセス実行を早期に検知する体制を構築することも重要です。

まとめ

今回のPsiTransferの脆弱性は、Node.jsアプリケーションにおけるパス処理の不備がいかに深刻な脅威、すなわちRCEへと繋がり得るかを示す好例です。フロントエンドエンジニアの皆さんも、自らが関わるアプリケーションや利用しているツールチェーンがどのようなセキュリティリスクを抱えているのかを理解し、セキュアコーディングプラクティスを意識することが不可欠です。常に最新のセキュリティ情報をキャッチアップし、チーム全体で協力して、安全な開発環境とサービス運用を実現していきましょう。