efforthye fast-filesystem-mcp index.ts の handleGetDiskUsage におけるコマンドインジェクション

fast-filesystem-mcpのバージョン3.5.1までの脆弱性が発見されました。この脆弱性は、ファイルsrc/index.ts内のhandleGetDiskUsage関数に存在します。リモートの攻撃者は、この関数の入力操作を操作することでこの欠陥を利用し、サーバー上で任意のコマンドを実行できるようになります。この脆弱性は、CVSSスケールで6.3と評価されています。エクスプロイトが公開されていることは、悪意のある攻撃者にとっての参入障壁を下げ、リスクを大幅に高めます。プロジェクトは問題に関するIssueレポートを通じて通知を受け取りましたが、まだ対応していません。これは懸念事項です。

Applications and services that rely on fast-filesystem-mcp versions 3.5.0 or earlier are at risk. This includes Node.js-based applications that utilize the library for file system management tasks. Shared hosting environments where multiple applications share the same Node.js runtime are particularly vulnerable, as a compromise of one application could potentially lead to the compromise of others.

• nodejs / server:

  ps aux | grep 'fast-filesystem-mcp' | grep -i 'handleGetDiskUsage'

• nodejs / server:

  npm list fast-filesystem-mcp

• generic web: Review access logs for requests containing suspicious parameters that might be used for command injection. • generic web: Check for unusual processes running with Node.js, particularly those related to file system operations.

1. 2026-04-02Disclosure

   disclosure

1. 予約済み2026-04-01
2. 公開日2026-04-02
3. 更新日2026-04-04
4. EPSS 更新日2026-04-09

fast-filesystem-mcpの開発者からの公式な修正がないため、推奨される軽減策には、修正されたバージョンにすぐにアップグレードするか（リリースされている場合）、不要な場合はコンポーネントを削除することが含まれます。一時的な対策として、handleGetDiskUsage関数への入力の厳格な検証など、追加のセキュリティコントロールを実装することを検討してください。影響を受けたシステムの悪用兆候の監視が重要です。セキュリティアップデートに関する情報を入手するために、開発チームに連絡することを強くお勧めします。