はじめに：Budibaseユーザーはご用心！

皆さん、ローコード開発ツールBudibaseは使っていますか？ スピーディなアプリケーション開発を可能にする便利なツールですが、今回、そのMongoDBデータソース連携機能に非常に危険な脆弱性「GHSA-pmpg-2mxq-6xwr」が発見されました。この脆弱性は、悪意のあるユーザーがデータベース内のあらゆるデータを閲覧、改ざん、さらには削除できてしまうというものです。まるでバックエンド版のSQLインジェクションのような仕組みで、フロントエンド開発者の皆さんにとっても、ユーザー入力の取り扱いの重要性を再認識させられる内容です。

何が問題だったのか？脆弱性の仕組みを理解する

この脆弱性の根幹にあるのは、BudibaseがMongoDBのクエリを生成する際の入力値の処理方法にあります。通常、開発者はユーザーごとに表示データを制限するフィルター（例: `{"email": "{{currentUser.email}}"}`）を設定しますよね。しかし、Budibaseの内部処理では、ユーザーからの入力値がエスケープされずに、そのままMongoDBクエリのJSON構造に埋め込まれてしまう問題がありました。

具体的には、`noEscaping: true`という設定と`JSON.parse`の組み合わせが原因で、攻撃者は通常のユーザー入力の代わりに`x", "name": {"$ne": "x"}, "$comment": "bud-033`のような特殊な文字列を挿入できてしまいます。これにより、開発者が意図したフィルターは攻撃者の用意したクエリで上書きされ、「データベース内の全てのデータを検索する」といった、本来許可されない操作をMongoDBに実行させることが可能になってしまうのです。

SQLデータベースには、プリペアドステートメントのような安全なパラメータ化の仕組みがありますが、BudibaseのMongoDBコネクタには、この同等の保護メカニズムが不足していたことが根本的な原因です。

フロントエンド開発者も知っておくべき、この脆弱性の深刻なリスク

「バックエンドの脆弱性だから関係ない」と考えるのは危険です。この脆弱性は、フロントエンドから送られるユーザー入力が引き金となって発生するため、その影響とリスクを理解しておくことは非常に重要です。影響を受けるのは、BudibaseでMongoDBデータソースを利用し、ユーザー入力に基づいてデータ取得を行うアプリです。攻撃が成功した場合、以下のような重大なリスクが発生します。

1. **情報漏洩 (Read queries):** アプリの一般ユーザーが、他のユーザーの機密データや、データベース内の全ての個人情報、パスワードハッシュなどにアクセスできてしまいます。これは、最悪の場合、個人情報保護法違反や企業ブランドの失墜につながります。

2. **任意コード実行 ($where/$function/$accumulator):** MongoDBの`$where`などのオペレーターを悪用することで、データベースサーバー上で任意のJavaScriptコードが実行される可能性があります。これにより、データベースサーバーのファイルシステムへの不正アクセス、さらなるデータ窃取、あるいはシステム全体の破壊活動に繋がる可能性があり、最も危険なリスクの一つです。

3. **データ改ざん・削除 (update/delete):** アプリで`update`や`delete`機能が公開されている場合、攻撃者はデータベース内の全てのドキュメント（レコード）を削除したり、内容を改ざんしたりすることが可能になります。ビジネスデータの完全性が脅かされ、復旧に多大なコストがかかるでしょう。

4. **クロスコレクションアクセス ($lookup):** `$lookup`などの機能が悪用されると、同じデータベース内の異なるコレクション（テーブル）のデータにもアクセスされ、意図しない機密情報が漏洩する可能性もあります。

これらのリスクはBudibaseインフラ自体ではなく、お客様が接続しているMongoDBデータベースのデータに限定されますが、その影響は壊滅的です。

今すぐできる対策と、より安全な開発のために

この脆弱性への対応は待ったなしです。Budibaseを利用している方は、以下の対策を検討してください。

ユーザーからの入力値をMongoDBクエリに渡す前に、`$`で始まるキー（MongoDBの特殊なオペレーターを意味します）を安全にフィルタリングまたは削除することです。これにより、ユーザーが意図しないデータベース操作を注入することを防ぐことができます。Budibaseの公式アップデートやパッチが提供されている場合は、速やかに適用してください。

SQLコネクタのように、MongoDBコネクタにもユーザー入力をクエリに直接文字列として結合するのではなく、安全な方法で値としてバインドするメカニズムを導入することが強く推奨されます。これはBudibase開発元に求められる対応ですが、ユーザーとしてもフィードバックを行うことが重要です。

皆さんが直接バックエンドのMongoDBクエリを書く機会は少ないかもしれませんが、ローコード/ノーコードツールを使用する際も、その裏でどのようなデータ操作が行われているかを意識することが重要です。

まとめ

GHSA-pmpg-2mxq-6xwrは、BudibaseのMongoDB連携における深刻な脆弱性であり、情報漏洩やデータ破壊に直結する非常に危険な問題です。Budibaseを利用している方は、この情報を真摯に受け止め、速やかに推奨される対策を講じてください。セキュリティはシステム全体の課題であり、フロントエンド開発者も無関係ではありません。ユーザー入力の危険性を常に意識し、安全なアプリケーション開発を心がけましょう。