はじめに

こんにちは、フロントエンドエンジニアの皆さん。日々の開発で欠かせないパッケージマネージャー「pnpm」に、見過ごせないセキュリティ脆弱性が発見されました。今回は、その「GHSA-72r4-9c5j-mj57」として識別される脆弱性について、具体的な内容、潜在的なリスク、そして私たちに求められる対応策を詳しく解説します。この脆弱性は、開発環境やCI/CD環境に重大な影響を及ぼす可能性があるため、ぜひ最後までお読みいただき、速やかな対応をお願いします。

脆弱性 GHSA-72r4-9c5j-mj57の概要

この脆弱性は、pnpmの`patch-remove`コマンドに存在します。通常、このコマンドは`pnpm patch`で作成されたパッチを削除するために使用されますが、特定の条件下で、本来削除すべきではない「プロジェクト外の任意のファイル」を削除してしまう可能性がありました。その深刻度は「High」とされており、システムの安定性やデータの整合性に関わる重大な問題です。

具体的な仕組みと潜在的な脅威

では、なぜこのような問題が起こるのでしょうか。`pnpm patch`コマンドは、`node_modules`内のパッケージに一時的な変更を加える際に利用され、その変更内容は`patches`ディレクトリ内に保存されます。`patch-remove`コマンドは、この`patches`ディレクトリ内のパッチファイルを削除するのが本来の役割です。

しかし、この脆弱性では、`patchedDependencies`という設定が悪用されることで、パス・トラバーサル攻撃（例えば`../../`のような相対パス指定）やシンボリックリンクを悪用し、`patches`ディレクトリの外部にあるファイルを参照・削除できてしまう可能性がありました。

具体的に想像してみてください。悪意のある、あるいは誤って設定されたパッチが適用された場合、あなたのプロジェクトのルートディレクトリにある重要な設定ファイル（例：`.env`、`package.json`）や、さらに悪いことに、OSレベルの重要なファイル、他のアプリケーションのデータなどが意図せず削除されてしまう可能性があります。これは開発者のローカル環境はもちろん、CI/CDパイプラインにおいても、ビルドの失敗、データ損失、さらにはシステム全体の障害へとつながる非常に深刻なリスクです。

修正内容：パスの厳格な検証

この深刻な脆弱性に対応するため、pnpmは`patch-remove`コマンドの動作を修正しました。具体的には、削除対象のパスを厳格に検証するロジックが追加されています。

修正後、`patch-remove`コマンドは、`patches`ディレクトリ外へのパス・トラバーサルを試みるパス、絶対パス、あるいは悪意のあるシンボリックリンクなどを利用して外部ファイルを参照しようとする試みを、削除処理の実行前に拒否するようになりました。これにより、意図しない外部ファイルの削除が効果的に防止されます。

今すぐ対応を！推奨される対策

pnpmを利用しているすべてのフロントエンドエンジニアの皆さんは、この脆弱性に対応したバージョンへの速やかなアップデートを強く推奨します。影響を受けるバージョンは広範囲にわたるため、現在利用しているpnpmのバージョンに関わらず、**最新の安定版**にアップデートすることが最も確実な対策です。

pnpmのアップデートは以下のコマンドで実行できます（グローバルインストールの場合）。

```bash pnpm add -g pnpm # または npm install -g pnpm ```

この脆弱性が修正された最初のバージョンは以下の通りですが、より新しい安定版がリリースされている場合はそちらを利用してください。

<ul><li>`pnpm v10.34.4`</li><li>`pnpm v11.7.0`</li></ul>

開発環境のセキュリティは、アプリケーションのセキュリティの基盤です。この機会に、ご自身の環境が最新の状態に保たれているか、ぜひ確認してください。

高度な話題：TOCTOU攻撃と残存リスク（補足）

今回の修正によって、リポジトリ制御下での不正なファイル削除は大部分が防がれました。しかし、より高度な視点から見ると、Node.jsのAPIがディレクトリ記述子相対の`unlinkat()`を直接公開していないため、理論上は「Time-of-Check to Time-of-Use (TOCTOU)」攻撃に対する非常に限定的な残存リスクが存在するとされています。

これは、`patch-remove`が削除対象のディレクトリを検証した直後、実際にファイルが削除されるまでのごく短い時間窓に、外部の攻撃者によって親ディレクトリが置き換えられた場合に、完全に防ぎきれない可能性を示唆しています。ただし、このリスクは極めて特殊な環境や高度な攻撃シナリオに限られるものであり、一般的な利用シナリオにおいては、今回のパッチでほとんどの危険は排除されていると考えて問題ありません。

まとめ

今回は、pnpmの`patch-remove`コマンドに見つかったGHSA-72r4-9c5j-mj57という深刻な脆弱性について解説しました。開発環境やCI/CD環境における予期せぬファイル削除という重大なリスクを回避するためには、pnpmを最新の安定版にアップデートすることが不可欠です。日々の開発ツールに対するセキュリティ意識を高め、安全な開発環境を維持していきましょう。