はじめに：@cyclonedx/cyclonedx-npm とSBOMとは？

近年、サプライチェーン攻撃の増加に伴い、ソフトウェアの構成要素を可視化する「SBOM（Software Bill of Materials）」の重要性が高まっています。`@cyclonedx/cyclonedx-npm` は、JavaScriptプロジェクトの依存関係を解析し、SBOMを生成するために広く利用されているツールの一つです。

しかし、この `cyclonedx-npm` に深刻度「High」のシェルインジェクションの脆弱性 (GHSA-v75r-vx73-82pj / CVE-2026-55849) が発見されました。本記事では、この脆弱性の詳細、影響を受ける条件、そして日本のフロントエンドエンジニアの皆様が取るべき緊急対応について解説します。

脆弱性の具体的な仕組み：なぜシェルインジェクションが起きるのか？

この脆弱性は、`cyclonedx-npm` ツールを `--workspace <値>` オプションと共に使用する際に発生します。通常、npm CLIツールは `npm_execpath` という環境変数が設定されていれば、安全なパスを介してnpmコマンドを実行します。

問題は、この `npm_execpath` 環境変数が **未設定であるか、または空の場合** に起こります。ツールはこの時、フォールバックとしてサブシェルを起動し、`--workspace` に指定された値を直接コマンド文字列に埋め込んでしまいます。

この際、入力値に含まれる `;` (セミコロン) や `&&` (アンド)、`|` (パイプ) などのシェルが特殊文字として解釈する文字が適切にエスケープされません。そのため、攻撃者はこれらの特殊文字を含む巧妙なワークスペース名を指定することで、本来のコマンドとは異なる任意のOSコマンドを挿入し、実行させることができてしまいます。

影響を受ける条件と潜むリスク

この脆弱性の影響を受けるのは、以下の両方の条件を満たすシナリオです。

1. `cyclonedx-npm` を `--workspace <値>` オプションと共に実行している。

2. `npm_execpath` 環境変数が未設定であるか、または空である。

もし攻撃者が `--workspace` オプションに渡される値を操作できる場合、この脆弱性を悪用して、`cyclonedx-npm` を実行したユーザーの権限で任意のOSコマンドを実行することが可能になります。これにより、以下のような深刻な結果を引き起こす可能性があります。

* **任意のプログラム実行**: 攻撃者が仕込んだ悪意のあるスクリプトやプログラムが、ビルド環境やCI/CDパイプライン上で実行される恐れがあります。

* **機密情報の窃取**: 環境変数に保存されたAPIキーや認証情報、開発中のソースコード、設定ファイルなどの機密データが攻撃者に読み取られ、外部へ送信される可能性があります。

* **データの改ざんや削除**: プロジェクトファイル、ビルド成果物、システムファイルなどが意図せず改ざんされたり、破壊されたりする危険性があります。

* **ローカル権限昇格**: ツールがより高い権限で実行されている場合、攻撃者がその権限を利用してシステムへのアクセスレベルを上昇させる可能性があります。

特にCI/CDパイプラインや自動ビルド環境でこのツールが使われている場合、パイプライン全体が危険に晒され、サプライチェーン攻撃の足がかりとなる可能性もあるため、緊急の対応が求められます。

推奨される対応策：今すぐ行うべきこと

この脆弱性は、`@cyclonedx/cyclonedx-npm` の **バージョン 5.0.0** で完全に修正されています。

`@cyclonedx/cyclonedx-npm` を **バージョン 5.0.0 以降** に速やかにアップグレードしてください。これは最も確実で推奨される対応策です。

プロジェクトの `package.json` で `cyclonedx-npm` のバージョンを確認し、必要であれば以下のコマンドで更新してください。

`npm install -D @cyclonedx/cyclonedx-npm@latest`

何らかの理由で直ちにバージョンアップが難しい場合は、以下の緩和策を適用することでリスクを一時的に軽減できます。ただし、これはあくまで一時的な措置であり、最終的にはバージョンアップを実施してください。

* **`npm_execpath` 環境変数の設定**: `cyclonedx-npm` を実行する前に、`npm_execpath` 環境変数を有効な npm 実行ファイルのパスに設定してください。

* **Linux/macOSの場合:** `export npm_execpath=$(which npm)`

* **Windows (Command Prompt) の場合:** `set npm_execpath=C:\Program Files\nodejs\npm.cmd` (npmのパスは環境により異なります。`where npm` で確認できます)

* **Windows (PowerShell) の場合:** `$env:npm_execpath = (Get-Command npm).Source`

* **信頼できない入力の回避**: 信頼できないソースからの入力や、外部から影響を受ける可能性のある値を `--workspace` オプションに直接渡すことは絶対に避けてください。入力値を適切に検証・サニタイズせずに使用することは、このような脆弱性の温床となります。

まとめ

`@cyclonedx/cyclonedx-npm` のシェルインジェクション脆弱性は、CI/CDパイプラインや開発環境のセキュリティに直接的な脅威をもたらします。フロントエンド開発者の皆様も、開発ツールやビルドシステムがこのような脆弱性を持っていないか、常に最新の状態を保っているかを確認する習慣をつけましょう。

最も効果的な対策は、**バージョン 5.0.0 以降への速やかなアップグレード** です。ご自身のプロジェクトや関わる環境で `cyclonedx-npm` が使用されていないかを確認し、すぐに最新版へ更新してください。安全な開発環境を維持するため、ご協力をお願いいたします。