はじめに：ローコード/ノーコードとセキュリティ

Budibaseは、オープンソースのローコード開発プラットフォームであり、社内ツールやカスタムアプリケーションの開発に活用されています。フロントエンドエンジニアの皆さんも、業務でローコード/ノーコードツールを部分的に活用したり、その上で構築されたアプリケーションと連携したりする機会が増えているのではないでしょうか。

しかし、こうしたツールの利便性の裏には、潜在的なセキュリティリスクが潜んでいます。今回は、Budibaseで発見された「Critical」レベルの重大な脆弱性について、その技術的な詳細と、フロントエンドエンジニアとしての視点からなぜこの情報を知っておくべきかを解説します。

脆弱性の概要：Zip Slipを悪用した機密情報漏洩 (CVE-2026-54352)

この脆弱性は、Budibaseサーバーのバージョン `3.39.0` 以前の自己ホスト型デプロイメントに影響します。簡単に言うと、**ワークスペースビルダー権限を持つ悪意のあるユーザーが、サーバー上の任意のファイルを読み取れてしまう**というものです。これにより、データベースのパスワードやAPIキーといった極めて重要な情報が漏洩し、最悪の場合、サーバーの管理者権限が奪われる可能性があります。

<ul><li>**ID**: GHSA-w7mq-r738-x278</li><li>**CVE**: CVE-2026-54352</li><li>**深刻度**: Critical</li></ul>

技術的詳細：Zip Slipとシンボリックリンクの巧妙な悪用

この脆弱性の根源は、いわゆる「Zip Slip」と呼ばれる種類の脆弱性と、それを巧妙に悪用したシンボリックリンクの処理にあります。これは、ファイル展開処理において、アーカイブ内のファイル名がパスを遡るような形式 (`../../`) や絶対パス (`/etc/passwd`) を含んでいる場合に、意図しない場所にファイルが作成・上書きされてしまう問題です。

<ol><li>攻撃者は、ワークスペースビルダー権限を利用して、BudibaseのPWA (Progressive Web App) 機能の一部である <code>POST /api/pwa/process-zip</code> エンドポイントに細工されたzipファイルをアップロードします。</li><li>このzipファイルには、アプリケーションの実行ディレクトリ外のファイル（例: <code>/data/.env</code>）を指すシンボリックリンクが含まれています。</li><li>Budibaseが内部で使用している <code>extract-zip@2.0.1</code> ライブラリは、このシンボリックリンクを絶対パスのまま展開してしまいます。これにより、本来アプリケーションがアクセスすべきでないファイルシステム上のパスに、シンボリックリンクの実体が作成されてしまいます。</li><li>さらに、Budibaseのアイコンパス検証ロジックが、このシンボリックリンクの指す先のファイルを追跡し、そのコンテンツを「有効」なものとして認識してしまいます。</li><li>結果として、シンボリックリンクが指し示す機密ファイル（例えば、環境変数ファイル <code>.env</code>）の中身が、Budibaseのオブジェクトストレージ（デフォルトではMinIO）にアップロードされます。</li><li>攻撃者は、特定のURLを通じてMinIOにアップロードされたこの機密ファイルの内容を容易に読み取ることが可能になります。</li></ol>

特に、BudibaseのデフォルトDockerイメージではNodeサーバーが `root` 権限で動作するため、`/data/.env` だけでなく、`/etc/passwd` や `/etc/shadow` といったシステム上のほぼ全ての機密ファイルが読み取り対象となる可能性がある点が極めて危険です。

この脆弱性は、Budibaseサーバーのバージョン `3.39.0` 以前に影響します。主に、自己ホスト型のBudibaseデプロイメント（特にDockerイメージをデフォルト設定で使用している場合）が影響を受けます。ワークスペースビルダー権限を持つアカウントがあれば、この攻撃は実行可能です。なお、マネージドクラウドホスト型のBudibaseテナントは、ファイルシステムがサンドボックス化されているため影響を受けません。

もたらされるリスク：致命的な影響

<ul><li>**機密情報の漏洩**: サーバーの環境変数ファイル（`/data/.env` など）が読み取られることで、`JWT_SECRET`、`INTERNAL_API_KEY`、MinIOの認証情報、データベースパスワードなど、システム全体のセキュリティを脅かす情報が外部に漏洩します。</li><li>**管理者権限への昇格**: 漏洩した `JWT_SECRET` を利用してHS256 JWTトークンを偽造し、グローバル管理者を含む任意のユーザーの権限を奪取することが可能です。これにより、システム全体のコントロールが奪われたり、マルチテナント環境であれば他のテナントへの横断的な攻撃も可能になります。</li><li>**システム情報の漏洩**: `root` 権限で動作する環境では、OSレベルの機密ファイル（例: `/etc/passwd`）も読み取られ、システム全体へのさらなる攻撃の足がかりとなるリスクがあります。</li></ul>

フロントエンドエンジニアとしての学びと対応

今回の脆弱性はバックエンドのファイル処理に関するものですが、フロントエンドエンジニアの皆さんにも大いに学ぶべき点があります。

<ul><li>**ファイル処理のセキュリティ**: 同様の「Zip Slip」脆弱性は、フロントエンドプロジェクトでnpmパッケージをインストールする際や、ビルドツールがzipファイルを展開する際など、意外な場所で発生する可能性があります。使用しているパッケージやツールのセキュリティアップデートは常に確認しましょう。</li><li>**CI/CDパイプラインのリスク**: ビルドパイプラインやCI/CD環境で、外部から取得したファイルを展開する際には、パスの検証やサンドボックス化の徹底が極めて重要です。不正なアーカイブが原因でビルドサーバーの機密情報が漏洩するリスクもゼロではありません。</li><li>**サプライチェーン攻撃への意識**: この脆弱性は、アプリケーションが依存する外部ライブラリ（`extract-zip`）の問題と、アプリケーション自身のロジック（アイコンパス検証）の組み合わせで発生しています。これは、サプライチェーン攻撃の一種と捉えることもでき、フロントエンド開発においても依存関係の管理がいかに重要であるかを再認識させます。</li></ul>

Budibaseを使用している、あるいは過去に使用していた可能性がある場合は、以下の対応を直ちに行ってください。

<ol><li>**緊急のアップデート**: 最も重要かつ効果的な対策は、Budibaseサーバーをこの脆弱性が修正された最新バージョンに直ちにアップデートすることです。</li><li>**認証情報の変更**: もしシステムが影響を受けるバージョンであった場合、アップデート後に `JWT_SECRET`、データベースパスワード、MinIOキー、Redisパスワードなど、漏洩した可能性のある全ての機密情報を変更してください。</li><li>**最小権限の原則**: 可能であれば、Budibaseサーバープロセスが最小限の権限（`root`以外）で動作するよう設定を見直してください。ただし、Budibaseのデフォルト設定では `root` が必要な場合があるため、まずはアップデートが優先です。</li><li>**アクセスログの監視**: 不審なファイルアクセスや、通常と異なるアクティビティがないか、サーバーのログを定期的に監視し、異常を早期に発見できるようにしてください。</li></ol>

まとめ

Budibaseの重大な脆弱性は、ローコードプラットフォームのセキュリティ、そしてファイルシステム操作や依存ライブラリの取り扱いに関する基本的なセキュリティプラクティスの重要性を浮き彫りにします。フロントエンドエンジニアの皆さんも、直接サーバーサイドを触らないとしても、間接的に関わるシステムやサプライチェーン全体のリスクに目を向け、常に最新のセキュリティ情報をキャッチアップしていくことが、安全なシステム開発には不可欠です。