はじめに: BackstageとTechDocsの概要

Backstageは、Spotifyがオープンソース化した開発者ポータルプラットフォームです。マイクロサービスやAPIのカタログ化、CI/CDパイプラインの管理、そして今回問題となるTechDocsによる技術ドキュメントの自動生成・表示など、開発体験を向上させる多岐にわたる機能を提供します。フロントエンドエンジニアの皆さんも、TechDocsを通じてAPIドキュメントやコンポーネントの利用方法を参照する機会が多いのではないでしょうか。TechDocsは、リポジトリにコミットされたMarkdownファイルを元にMkDocsを使ってドキュメントを生成し、Backstage上で公開する仕組みです。

今回の脆弱性 [GHSA-p75x-jh7p-ppcx / CVE-2026-106505] の詳細

今回発表されたGHSA-p75x-jh7p-ppcx、またはCVE-2026-106505は、Backstageの`@backstage/plugin-techdocs-node`コンポーネントに存在する高深刻度（High）の脆弱性です。これはTechDocsのバックエンドがMkDocs設定ファイル（`mkdocs.yml`など）を処理する際に適用されるサニタイズ処理を、特定の悪意のある設定を注入することで迂回できてしまう問題です。具体的には、TechDocsを利用するリポジトリへのコミット権限を持つ攻撃者が、巧みに細工したMkDocs設定ファイルをコミットすることで、TechDocsのドキュメント生成プロセス中にTechDocsバックエンドホスト上で任意のコードを実行できてしまいます。この脆弱性は、以前の同様の脆弱性（CVE-2026-25153）に対するパッチが不完全であったために発生しました。

攻撃シナリオと潜在的な影響

この脆弱性は、TechDocsバックエンド上で任意コード実行（RCE）を可能にするため、非常に危険です。攻撃者がリポジリに悪意のあるコミットを行った場合、以下のような事態が想定されます。 * **機密情報の窃取:** TechDocsバックエンドが稼働しているサーバー上の環境変数、ファイルシステム内の設定ファイル、データベース接続情報などが読み取られる可能性があります。 * **システムの改ざん・破壊:** バックエンドサーバー上で任意のコマンドが実行されるため、ファイルの削除、システムの改変、さらにはバックエンドサーバーそのものの乗っ取りに繋がる可能性があります。 * **サプライチェーン攻撃の起点:** 内部ネットワークへの侵入や、さらなる攻撃の足がかりとして利用されるリスクもあります。

特に、組織内でドキュメント生成のためにBackstage TechDocsを広く利用している場合、多くのリポジトリが攻撃対象となり得ます。信頼できない外部のコントリビューターが参加するオープンソースプロジェクトや、複数のチームが共同で利用するモノレポなどで、リスクが高まります。

緊急対応！パッチ適用による解決

この脆弱性は、`@backstage/plugin-techdocs-node`のバージョン`1.15.4`で修正されています。TechDocsをご利用中の場合は、できるだけ早く**`@backstage/plugin-techdocs-node`を`1.15.4`以上にアップグレードする**ことを強く推奨します。

アップグレードは、Backstageプロジェクトの`package.json`ファイルに記載されている`@backstage/plugin-techdocs-node`のバージョンを更新し、`yarn install`または`npm install`を実行することで行えます。CI/CDパイプラインに組み込まれている場合は、その定義も確認してください。

アップグレードが困難な場合の回避策

すぐにアップグレードできない場合でも、以下の回避策を組み合わせることでリスクを軽減できます。 1. **TechDocsをDockerモードで実行する (`runIn: docker`)**: TechDocsの設定で`runIn: local`ではなく`runIn: docker`を使用するように変更してください。これにより、ドキュメント生成プロセスがコンテナ内で実行されるため、バックエンドホスト自体への直接的な影響を隔離できます。ただし、完全にリスクがなくなるわけではない点に注意が必要です。 2. **リポジトリへの書き込みアクセス権限を制限する**: 脆弱性の悪用には、TechDocsが有効なリポジトリへのコミット権限が必要です。そのため、リポジリへの書き込み権限を持つユーザーを信頼できる関係者に限定することで、攻撃のリスクを大幅に減らすことができます。特に、外部のコントリビューターを受け入れているプロジェクトでは、より厳格なアクセス制御を検討してください。 3. **MkDocs設定ファイルの変更を厳格にコードレビューする**: プルリクエストのレビュープロセスにおいて、`mkdocs.yml`などのMkDocs設定ファイルに加えられた変更を注意深く確認してください。不審なコマンド実行やファイルアクセスに関連する設定がないかを慎重にチェックすることが重要です。

フロントエンドエンジニアとしての意識

「バックエンドの脆弱性だから関係ない」と思われがちですが、我々フロントエンドエンジニアも無関係ではありません。TechDocsはドキュメント生成を通じて開発体験を向上させるツールであり、そのセキュリティが破られれば、最終的には開発プロセス全体の信頼性が損なわれ、我々が日々利用する環境が危険に晒される可能性があります。自身の担当プロジェクトでBackstageやTechDocsを利用している場合は、関連する依存関係のバージョンを確認し、必要であればチーム内のSREやバックエンド担当者と連携してパッチ適用を促しましょう。また、ドキュメントの変更を行う際には、悪意のある記述が入り込まないよう、コードレビューの重要性を再認識してください。

まとめ

Backstage TechDocsのMkDocs設定サニタイザーバイパス脆弱性は、TechDocsバックエンドでの任意コード実行を可能にする深刻な問題です。`@backstage/plugin-techdocs-node`をバージョン`1.15.4`以上に速やかにアップグレードすることが最善の対策です。それが困難な場合は、Dockerモードの利用、アクセス制限、厳格なコードレビューといった回避策を講じましょう。開発者ポータルとしてBackstageを活用している組織は、この脆弱性情報を速やかに共有し、適切な対応を取るようにしてください。