はじめに：`simple-git`の深刻な脆弱性（CVE-2026-28291）

こんにちは、フロントエンドエンジニアの皆さん。今回は、Node.js環境でGit操作を簡易化する人気のJavaScriptライブラリ`simple-git`に関する極めて重大なセキュリティ脆弱性（GHSA-jcxm-m3jx-f287 / CVE-2026-28291）について解説します。この脆弱性は、悪意のある入力によって、皆さんのアプリケーションが稼働するサーバー上で任意のコマンドが実行されてしまう可能性があるため、迅速な対応が求められます。

`simple-git`は、フロントエンド開発におけるCI/CDスクリプト、バックエンドのBFF（Backend For Frontend）層、あるいはローカル開発ツールなどで利用されているケースも少なくないでしょう。そのため、直接バックエンドコードを書いていない方でも、この脆弱性の影響を受ける可能性があります。

脆弱性の概要とメカニズム

この脆弱性は、`simple-git`のバージョン3.28.0以前に存在します。問題の根源は、過去に修正されたコマンド実行の脆弱性（CVE-2022-25860）に対するパッチが不適切であったことにあります。

`simple-git`は通常、セキュリティのために`-u`や`--upload-pack`のような任意のコマンド実行を可能にする危険なGitオプションをブロックしています。しかし、Gitコマンドのオプション解析の柔軟性が仇となり、例えば`-vu`のように、ブロックリストには直接含まれていないものの、内部的に危険なオプションとして解釈される特殊な形式が存在します。

攻撃者はこのようなバイパス可能なオプションを悪用することで、`simple-git`の安全対策をすり抜け、本来許可されていないシェルコマンド（例：ファイル作成、システム設定変更、データ窃取など）を、アプリケーションが動作しているサーバー上で実行できてしまいます。さらに深刻なことに、たとえ`simple-git`に`allowUnsafePack: false`を設定して安全モードにしていたとしても、この脆弱性によって保護が無効化されてしまう可能性があります。

影響を受ける範囲と潜在的リスク

この脆弱性の影響を受けるのは、`simple-git`バージョン3.28.0以前を使用しているすべてのプロジェクトです。特に、以下のようなシナリオでは悪用されるリスクが非常に高まります。

1. **ユーザー入力がGitコマンドのオプションとして渡されるケース**: ウェブアプリケーションなどで、ユーザーが入力した値が直接的または間接的に`simple-git`のメソッド（例: `clone()`, `fetch()`, `pull()`, `push()`など）のオプションとして渡される場合。

2. **CI/CDパイプライン**: `simple-git`を使ってGitリポジトリ操作を自動化しているCI/CD環境。

3. **バックエンドサービス**: Node.jsで構築されたバックエンド（BFF含む）で、リポジトリ操作が必要なサービス。

再現環境としては、WSL Docker上のNode.js環境で確認されており、Linuxベースのシステムで広く発生する可能性が指摘されています。Windows環境での再現は確認されていませんが、リスクがないとは言い切れません。攻撃に成功した場合、サーバーの完全な制御を奪われたり、機密情報の漏洩、サービスの停止といった重大な被害につながる可能性があります。

今すぐ取るべき対策

この深刻な脆弱性からプロジェクトを守るため、以下の対策を直ちに実施してください。

1. **`simple-git`の最新バージョンへのアップデート**: `simple-git`ライブラリを、脆弱性が修正された**バージョン3.28.0以降**に即座にアップデートしてください。

```bash npm install simple-git@latest # または yarn add simple-git@latest ```

2. **入力値の厳格な検証とサニタイズ**: 根本的な対策として、ユーザーからの入力値をGitコマンドのオプションとして直接渡す設計は絶対に避けてください。もしユーザー入力を使用する必要がある場合は、ホワイトリスト方式で許可された値のみを受け入れるなど、厳格な入力値検証（バリデーション）とサニタイズ（無害化）を徹底してください。これにより、たとえ未知のバイパスパターンが見つかったとしても、悪用されるリスクを最小限に抑えることができます。

3. **継続的なセキュリティアップデートの適用**: この脆弱性は過去の複数の関連する脆弱性シリーズの継続であり、同様の問題が将来的に発生する可能性もゼロではありません。依存関係の定期的なスキャンとアップデートを習慣化し、常に最新のセキュリティ対策を適用するようにしてください。

まとめ

`simple-git`の任意のコマンド実行脆弱性（CVE-2026-28291）は、Node.jsアプリケーションに甚大な被害をもたらす可能性のある重大な問題です。フロントエンドエンジニアの皆さんも、自身の関わるプロジェクトで`simple-git`が利用されていないか確認し、速やかにアップデートと適切な入力値対策を実施してください。安全な開発環境とサービス運用のため、セキュリティは常に最新の状態に保ちましょう。