`@backstage/backend-common` がシンボリックリンク経由のパストラバーザル脆弱性を持つ

この脆弱性を悪用されると、攻撃者はBackstageバックエンドサーバーがアクセスできるファイルシステム内の任意のファイルにアクセスできる可能性があります。これにより、機密情報（APIキー、データベース接続文字列、ソースコードなど）が漏洩するリスクがあります。また、攻撃者はこの脆弱性を利用して、バックエンドサーバー上で任意のコードを実行できる可能性も否定できません。特に、Backstageを開発環境や本番環境で利用している場合、この脆弱性の影響は甚大です。攻撃者は、Backstageの認証情報を盗み出し、他のシステムへの攻撃の足がかりとして利用する可能性があります。

Organizations using Backstage developer portals and relying on @backstage/backend-common are at risk. This includes teams managing developer tools, infrastructure, and internal applications. Shared hosting environments where multiple Backstage instances share the same server are particularly vulnerable, as a compromise of one instance could potentially lead to the compromise of others.

• nodejs / server:

  find /path/to/node_modules/@backstage/backend-common -type f -name 'resolveSafeChildPath.js' -print0 | xargs -0 grep -i 'path.resolve'

• nodejs / server:

  npm list @backstage/backend-common

• generic web: Inspect web server access logs for requests containing unusual path patterns or attempts to traverse directories using '..' sequences.

1. 2024-02-23Disclosure

   disclosure

1. 予約済み2024-02-14
2. 公開日2024-02-23
3. 更新日2024-08-01
4. EPSS 更新日2026-04-02

この脆弱性への対応策として、まず@backstage/backend-commonをバージョン0.21.1、0.20.2、または0.19.10にアップデートすることを推奨します。アップデートが困難な場合は、シンボリックリンクの作成を制限するファイルシステムの設定変更や、WAF（Web Application Firewall）によるアクセス制御を検討してください。また、Backstageのバックエンドサーバーがアクセスできるファイルシステムの範囲を最小限に抑えることで、攻撃の影響範囲を限定できます。アップデート後、resolveSafeChildPathユーティリティが正しく機能していることを確認し、ファイルシステムへの不正アクセスがないことを検証してください。