はじめに：npmで人気の`simple-git`とは？

こんにちは、日本のフロントエンドエンジニアの皆さん。今回は、npmで週に約940万回もダウンロードされている人気のGit操作ライブラリ、`simple-git`に発見された極めて深刻な脆弱性について解説します。

`simple-git`は、Node.jsアプリケーションから簡単にGitコマンドを実行できる便利なライブラリです。CI/CDシステム、自動デプロイツール、VS Code拡張、あるいはJavaScript製のバックエンドサービスなど、私たちの身近な開発・運用環境で広く利用されている可能性があります。そのため、今回の脆弱性は広範囲にわたる影響が懸念されます。

CVSS 9.8 (Critical)！脆弱性の概要と攻撃シナリオ

この脆弱性 (CVE-2026-102826) は、`simple-git`ライブラリの`git.clone()`関数、特にその`customArgs`引数に存在します。これにより、攻撃者はOSコマンドインジェクション、ひいてはリモートコード実行 (RCE) を引き起こすことが可能になります。CVSSスコアは9.8（Critical）と評価されており、認証なしで悪用される可能性があるため、非常に危険です。

具体的な攻撃シナリオは以下の通りです。

1. **悪意のある設定ファイルの書き込み**: まず、攻撃者は何らかの方法で、アプリケーションが動作しているサーバー上に悪意のあるGit設定ファイル（例えば、`.gitconfig`のようなファイル）を書き込みます。これは、ファイルアップロード機能の悪用など、別の脆弱性や設定ミスを足がかりに達成される可能性があります。

2. **`customArgs`を通じた設定注入**: 次に、攻撃者は`git.clone()`や`git.mirror()`関数に渡される`customArgs`引数に、細工された値を注入します。例えば、`['-c', 'include.path=/tmp/attacker.cfg']` のようなオプションです。ここで使われる`-c`オプションは、Gitに対して一時的に設定を上書きさせるためのものです。

3. **悪意あるコマンドの実行**: `include.path`オプションによって、攻撃者が事前に書き込んだ悪意のある設定ファイルがGitに読み込まれます。この設定ファイルには、GitがSSH接続を行う際に実行するコマンドを書き換える指示（`core.sshCommand`など）が含まれています。結果として、次のGit操作時に、攻撃者の意図する任意のコマンドがサーバー上で実行されてしまうのです。これはサーバーの完全な乗っ取りにつながる可能性があります。

脆弱性の根本原因：不完全なデンジャーリスト

この問題の根本原因は、`simple-git`が危険なGit設定オプションの注入を防ぐために設けている「デンジャーリスト」（許可しない設定のリスト）が不完全であったことにあります。

既存のバージョンでは、他のGit設定ファイルを読み込ませるための重要なオプションである`include.path`や`includeIf.<条件>.path`が、このデンジャーリストに登録されていませんでした。そのため、これらのオプションが何のチェックも受けずにGitコマンドに渡されてしまい、上記のような攻撃を許してしまっていたのです。

さらに懸念される点として、この脆弱性に対する開発中の修正（PR #1167）でも、`includeIf.<条件>.path`のような「条件付きインクルード」形式のオプションには対応できていない可能性が指摘されており、修正後のバージョンでも攻撃が成立するリスクが残る可能性があります。

攻撃が成立する条件と広範な影響

攻撃が成功するためには、主に以下の2つの条件が必要です。

1. **ファイル書き込みの足がかり**: 攻撃者が、`simple-git`プロセスが読み取り可能な場所に任意のファイル（悪意のあるGit設定ファイル）を書き込めること。これは、アプリケーションのファイルアップロード機能の脆弱性や、設定ミスなどによって引き起こされる可能性があります。

2. **`customArgs`への影響**: `git.clone()`または`git.mirror()`関数に渡す`customArgs`引数に、攻撃者が細工した値（例: `['-c', 'include.path=/tmp/attacker.cfg']`）を注入できること。例えば、ユーザーが指定したリポジトリURLの一部として、あるいはCI/CDパイプラインのパラメータとして、不正な値が渡されてしまうケースなどが考えられます。

これらの条件が満たされると、アプリケーションが動作しているサーバー上で認証なしで任意のコードが実行（RCE）される可能性があり、サーバーの乗っ取り、機密データの漏洩、ウェブサイトの改ざんなど、極めて深刻な被害につながります。

`simple-git`は、CI/CDツール、PaaSプラットフォーム、コード分析ツール、ボットフレームワーク、VS Code拡張機能、さらにはAIエージェントなど、ユーザー入力に基づいてGit操作を行う広範なアプリケーションで利用されています。フロントエンドエンジニアの皆さんにとって身近なビルドプロセスやデプロイツールに組み込まれている可能性も高く、その影響は広範囲に及びます。

今すぐ取るべき対策

この深刻な脆弱性から自身とサービスを守るため、以下の対策を直ちに実施してください。

1. **緊急のアップデート**: この脆弱性が完全に修正された`simple-git`の最新バージョンがリリースされ次第、直ちにアップデートしてください。特に、`includeIf`形式の脆弱性にも対応していることを確認することが重要です。

2. **`customArgs`の使用制限と厳格な検証**: アプリケーションで`git.clone()`や`git.mirror()`の`customArgs`にユーザーからの入力や外部のデータを渡している場合、その内容を極めて厳しく検証し、信頼できないオプションを絶対に許可しないでください。可能であれば、`customArgs`の使用を避け、`simple-git`が提供する、より安全で型付きのAPI（例えば、`config`オプション）のみを使用することを強く推奨します。

3. **環境変数の管理**: `git.env()`を使用してGitコマンドの環境変数を設定している場合、`HOME`や`XDG_CONFIG_HOME`など、Gitの設定ファイル解決に影響を与える可能性のある環境変数が攻撃者によって操作されないよう、厳しく管理・制限してください。

4. **より強力な長期的な対策**: 長期的には、`customArgs`経由での`-c`や`--config`といった任意のGit設定オプションの受け入れを完全に拒否し、`simple-git`が安全と判断した専用のAPIを通じてのみ設定を許可する、よりセキュアな設計モデルへの移行を検討すべきです。

まとめ

`simple-git`のCVE-2026-102826は、リモートコード実行につながる非常に深刻な脆弱性です。Node.js環境でGit操作を行っているアプリケーションは、その利用形態に関わらず、攻撃のリスクに晒されている可能性があります。自身の開発・運用環境における`simple-git`の利用状況を確認し、速やかに上記の対策を講じることで、未然に被害を防ぎましょう。

最新の情報に常に注意を払い、セキュリティアップデートを怠らないようにしてください。