はじめに：Fastifyユーザー必見の深刻な脆弱性

Node.jsの軽量かつ高速なWebフレームワークとして、多くのフロントエンドエンジニアがBFF (Backend for Frontend) やAPIゲートウェイ層でFastifyを採用していることと思います。今回、Fastifyにおいて、深刻度「High」に分類されるヘッダー検証の脆弱性 (GHSA-9q9j-q6p8-xq58 / CVE-2026-84428) が公開されました。この脆弱性は、認証・認可に関するセキュリティ制御が意図せず無効化され、特権パスへの不正アクセスを許してしまう可能性があるため、関連するプロジェクトでは迅速な対応が求められます。

脆弱性の詳細：ヘッダー正規化の落とし穴

この脆弱性の根本原因は、Fastifyがリクエストヘッダーをバリデーションする際の「正規化処理」に不備があった点です。通常、Node.jsは受信したHTTPヘッダー名を小文字に変換します。Fastifyもこの仕様に合わせて、スキーマで定義されたヘッダー名を小文字化してから実際のヘッダーと照合します。

しかし、JSON Schema Draft 7の`dependencies`キーワードやネストされたサブスキーマ内で使用されるヘッダー名に対しては、この小文字化処理（正規化）が適切に適用されていませんでした。つまり、`X-Admin`のような大文字を含むヘッダー名をスキーマの`dependencies`セクションで定義した場合、Fastifyはそれをそのまま`X-Admin`として扱おうとします。しかし実際のリクエストでは`x-admin`として届くため、スキーマが定義するヘッダー間の依存関係の検証がサイレントにスキップされてしまっていました。

例えば、「`X-Admin`ヘッダーが存在する場合は、`X-Admin-Token`ヘッダーも必須とする」といった重要なセキュリティルールが、この正規化の不備によって機能しない状態でした。これにより、本来であれば特定のヘッダーを提示しないとアクセスできない特権パスに、攻撃者がそのヘッダーを省略して不正にアクセスできるリスクが生じていました。

影響とリスク：フロントエンドエンジニアが知るべきこと

この脆弱性は、主にバックエンド側のAPI認証・認可ロジックに影響を与えます。もしあなたのチームがFastifyを使ってBFFやAPIゲートウェイ、あるいは直接的なAPIサーバーを構築し、ヘッダーに依存する形でセキュリティ制御（例えば、特定のロールを持つユーザー向けの管理者APIへのアクセス制御など）を実装している場合、その制御が迂回される可能性があります。

攻撃者は、必要な認証トークンや特別なヘッダーを提示することなく、機密性の高い管理用APIや特権操作を実行するエンドポイントにアクセスできるかもしれません。これは、データ漏洩や不正操作、システムの完全性への侵害につながる極めて重大な問題です。

フロントエンドエンジニアとしては、直接この脆弱性に対応するコードを書くことは少ないかもしれませんが、自身の開発するアプリケーションが利用するAPIがこの脆弱性の影響を受けていないか、バックエンドチームと連携して確認することが重要です。また、API設計時にヘッダーベースの複雑な認証・認可ルールを採用している場合は、この脆弱性が今後の設計に与える影響も考慮に入れるべきでしょう。

対策：速やかなアップデートと回避策

この脆弱性への最も効果的な対策は、Fastifyを速やかに以下のバージョンにアップグレードすることです。

Fastify 5.12.2 以降

Fastify 6.0.0 以降

これらのバージョンでは、ヘッダー・スキーマ内のあらゆる位置（properties、required、dependencies、dependentRequired、dependentSchemas、およびネストされたサブスキーマ）でヘッダー名が適切に小文字に正規化されるよう修正されています。

ただし、`addSchema`で登録された外部の共有`$ref`を介して参照されるヘッダー・スキーマは、この正規化の対象外となります。もし該当するスキーマを使用している場合、Fastify起動時に`FSTSEC002`という警告が表示されます。この警告が表示された場合は、セキュリティを確保するために、該当するヘッダー・スキーマをインラインで定義し直すことを検討してください。そうしないと、引き続き大文字・小文字を区別しないバリデーションが行われ、脆弱な状態が継続する可能性があります。

直ちにFastifyのアップグレードが難しい場合のために、以下の回避策が提供されています。

1. ヘッダー名をすべて小文字で記述する: ヘッダー・スキーマ内のすべてのヘッダー名を、最初から小文字で記述するように修正します。これにより、`dependencies`などの大文字・小文字を区別するアサーションがNode.jsによって小文字化されたリクエストヘッダーと正しく一致するようになります。

2. フックを用いた手動バリデーション: スキーマによるバリデーションに頼らず、Fastifyの`onRequest`または`preValidation`フック内で、ヘッダー間の依存関係を手動で検証するロジックを実装します。例えば、`request.headers['x-admin']`の存在を確認し、それに応じて`request.headers['x-admin-token']`の有無をチェックするなどの処理です。

これらの回避策はあくまで一時的なものであり、最終的には最新バージョンへのアップデートを強く推奨します。

まとめ

Fastifyのヘッダー検証に関する脆弱性は、APIセキュリティに深刻な影響を及ぼす可能性があります。特に、フロントエンドエンジニアが関わるBFFやAPIゲートウェイ層でFastifyを使用している場合は、その影響範囲を正しく理解し、速やかに対応することがサービス全体のセキュリティ維持に不可欠です。

この機会に、プロジェクトで使用しているライブラリのバージョン管理や、セキュリティアップデートへの対応フローを見直す良い機会と捉え、堅牢なシステム構築を目指しましょう。