脆弱性の概要 (CVE-2026-106557 / GHSA-f7v3-xhm6-w245)

Backstageは開発者ポータルを提供するオープンソースソフトウェアですが、そのドキュメント生成機能である「TechDocs」において、Markdown拡張設定に関する入力検証の不備が発見されました。この脆弱性は、認証されたユーザーが悪意のある設定をすることで、意図しないファイルアクセスや情報漏洩を引き起こす可能性があります。TechDocsを導入しているBackstageユーザーは、特に注意が必要です。

深刻度と潜在的な影響

この脆弱性は「高深刻度 (High)」と評価されています。具体的には、ドキュメントソースの登録または変更権限を持つ認証済みユーザーが、TechDocsのビルドプロセスを悪用し、本来アクセスすべきではないファイルやネットワークリソースにアクセスできる可能性があります。これにより、バックエンドサーバーの機密データが漏洩したり、内部ネットワークへの不正なアクセス経路が確立される恐れがあります。皆さんのチームでBackstageのTechDocsを利用している場合、このリスクは無視できません。

脆弱性のメカニズム

脆弱性の根本原因は、TechDocsがMarkdownを処理する際に使用する拡張機能の設定における入力検証の不備です。特に、Markdownパーサーライブラリ（例: `pymdown-extensions`）の設定が適切にサニタイズ（無害化）されないまま処理されると、ファイルインクルードなどの危険な操作を許してしまう可能性があります。攻撃者は、悪意のあるパスを含んだ設定を注入することで、TechDocsビルド環境のファイルシステムやネットワークに対する権限を悪用し、外部のリソースを読み取ったり、内部リソースに接続したりすることが可能になります。

必要な対策とパッチの適用

この脆弱性を解消するためには、以下のコンポーネントを最新バージョンに更新することが不可欠です。

<ul><li>`@backstage/plugin-techdocs-node`: バージョン `1.15.4` 以降にアップデートしてください。</li><li>TechDocsジェネレーターが使用するPython依存関係: `pymdown-extensions` をバージョン `10.21.3` 以降にする必要があります。これは通常、`mkdocs-techdocs-core` をバージョン `1.7.0` 以降に更新することで解決されます。</li></ul>

`@backstage/plugin-techdocs-node` は直接Python依存関係を制御しないため、JavaScript/TypeScriptのパッケージ更新だけでなく、TechDocsビルド環境で使用されるPython環境も別途確認し、適切なバージョンに更新することが重要です。

暫定的な回避策

直ちにパッチを適用できない場合でも、以下の回避策を検討してください。

<ul><li><strong>信頼できるリポジトリのみを使用:</strong> TechDocsを生成するドキュメントソースは、セキュリティレビュー済みの信頼できるリポジトリに限定し、`mkdocs.yml` などの設定ファイルも厳密に管理してください。</li><li><strong>隔離されたビルド環境の利用:</strong> TechDocsのビルドプロセスを、ファイルシステムアクセスやネットワーク egress (外向き通信) が厳しく制限された隔離された環境 (例: コンテナ) で実行してください。</li><li><strong>外部生成されたTechDocsの利用:</strong> 適切なサンドボックス化されたCI/CDパイプラインを通じて外部でTechDocsを生成し、Backstageでは生成済みの成果物を表示するのみにすることで、ビルド時のリスクを低減できます。</li></ul>

まとめ

BackstageのTechDocsは開発者の生産性を高める便利な機能ですが、今回の脆弱性は認証済みユーザーによる深刻な情報漏洩リスクを孕んでいます。Backstageを運用している日本のフロントエンドエンジニアやチームの皆さんは、速やかに `@backstage/plugin-techdocs-node` および関連するPython依存関係のバージョンアップを実施し、セキュリティ体制を強化してください。情報の公開時期が2026年となっていますが、前もって対策を講じることが重要です。