node-shell-quote の脆弱性 (UBUNTU-CVE-2026-9277)
概要
node-shell-quote に 脆弱性 (UBUNTU-CVE-2026-9277) が存在。悪用されるとシステム全体を乗っ取られる可能性があります。envFn 経由で攻撃可能。対策: 1.7.4+~1.7.1-1ubuntu0.24.04.1 以上に更新。
原文の説明
取得元が公開している説明をそのまま載せています (多くは英語)。
shell-quote's quote() function did not validate object-token inputs against the operator model used by parse(). The .op field was backslash-escaped character by character using /(.)/g, which in JavaScript does not match line terminators (\n, \r, U+2028, U+2029). A line terminator in .op therefore passed through unescaped into the output; POSIX shells treat a literal newline as a command separator, so any content after it would execute as a second command. The vulnerable code path is reachable in two ways: (1) direct construction of { op: '...\n...' } from external input, and (2) via parse(cmd, envFn) when envFn returns object tokens whose .op is attacker-influenced. Both are documented API surface. Fixed by replacing the per-character escape with strict shape validation: .op must match the parser's control-operator allowlist; { op: 'glob', pattern } validates pattern and forbids line terminators; { comment } validates comment and forbids line terminators; any other object shape throws TypeError.
出典: OSV.dev (Open Source Vulnerabilities) OSV
自動生成の要約
取得元のデータ (CVSS・CWE・影響バージョンなど) から SecPulse が定型文で組み立てた要約です。AI は使っていません。正確な内容は下の原文と参照URLで確認してください。
node-shell-quote という製品で、UBUNTU-CVE-2026-9277 という番号がついた弱点 (脆弱性) が見つかりました。
悪い人がインターネット越しに envFn のような特定の入り口を狙うことで、製品の中を不正に操作できてしまいます。
悪用されるとシステム全体を乗っ取られる可能性があります。
対策: node-shell-quote を 1.7.4+~1.7.1-1ubuntu0.24.04.1 以上に更新してください。
心配なら、システム担当者や製品の公式サイトで「node-shell-quote UBUNTU-CVE-2026-9277」を検索してください。
UBUNTU-CVE-2026-9277 (node-shell-quote)
攻撃ベクター: ネットワーク経由 (リモート攻撃可) / 認証不要 / 被害者操作不要
脆弱箇所: envFn / pattern / comment / TypeError
修正バージョン: 1.7.4+~1.7.1-1ubuntu0.24.04.1 (即時適用推奨)
対応方針: 1) SBOMで影響バージョン横断確認, 2) ステージング検証→本番更新, 3) WAF/プロキシで該当エンドポイントを監視, 4) ログでIOC調査。
参考: 当ページの『参照URL』の GHSA / vendor advisory / patched release を参照。
node-shell-quote に 脆弱性 (分類未定) があります。攻撃者は envFn を経由して脆弱な処理に到達し、認証なしで悪用できます。
node-shell-quote の影響バージョンはベンダーのアドバイザリで確認してください。攻撃箇所: envFn / pattern / comment / TypeError。
重要度: ?。悪用されるとシステム全体を乗っ取られる可能性があります。
1.7.4+~1.7.1-1ubuntu0.24.04.1 に更新してください。
修正版が未提供時は、影響機能の無効化・WAFルール・ネットワークACLでの遮断を検討。
Webサーバ・プロキシ・WAFログで該当CVEのIOCに合致する不審リクエストを検索。SBOM/依存ファイルで影響バージョンを横断確認。
対応アクション
SOC/SREチームが順番に実行すべき具体的なステップとコマンド例
-
1影響範囲の特定 identify
grep -r 'node-shell-quote' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
node-shell-quoteを grep し、稼働しているサービス・バージョンを把握する。 -
2パッチ適用 patch
Upgrade node-shell-quote to 1.7.4+~1.7.1-1ubuntu0.24.04.1ステージング環境で 1.7.4+~1.7.1-1ubuntu0.24.04.1 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
-
3事後検証 verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
影響パッケージ
参照URL
- advisory ubuntu.com
- report ubuntu.com
- report cve.org
- report github.com
- report github.com
- report github.com
- report npmjs.com
- report openwall.com
- report github.com