依存管理
このタグの記事 9 件
TanStack・Nx Console・GitHubの連鎖侵害（2026年5月）：開発者が確認すること
2026年5月11日、TanStackのRouter/Startリポジトリの公開パイプラインが悪用され、npmの42パッケージ・84バージョンに認証情報を盗むコードが入った。これを入れたNxの貢献者の端末からGitHub CLIのトークンが盗まれ、5月18日にNx Console拡張機能の改ざん版（v18.95.0）が公開された。同日、GitHubは社員の端末が改ざんされたVS Code拡張機能によって侵害され、GitHub社内のリポジトリが持ち出されたと発表した。3社とも、攻撃は本物の開発者アカウントや公式の配布の仕組みを通って行われた。防御の要は、公開用の認証情報（トークン）が盗まれても1人では新しい版を公開できない仕組みにすることと、設定したはずの安全策が実際に働いているかを確かめることだ。
Trivyのサプライチェーン侵害（2026年3月）：CIでTrivyを使っている人がやること
2026年3月19日、Aqua Securityが開発するオープンソースの脆弱性スキャナTrivyで、不正なv0.69.4がリリースされ、GitHub Actionのtrivy-action（77タグ中76）とsetup-trivy（全7タグ）が不正なコミットに書き換えられた。Aquaによれば、不正なコードはCIの実行環境から秘密情報を集めて外部に送るもので、2月下旬に始まった侵害で得た認証情報を、3月1日のローテーション（認証情報の入れ替え）が一斉に行われなかったために使い続けられたことが原因とされる。当サイトの結論：教訓は、Actionsをタグではなくコミットの識別子（SHA）で固定することだけではない。SHAで固定したアクションの中で別の部品がタグで呼ばれていれば、そこから不正な版が入り得る。漏れた認証情報の入れ替えは、一斉に行わなければ攻撃者のアクセスを断てない。脆弱性スキャナは、秘密情報を渡さないジョブで動かす。
プロトタイプ汚染（Node.js）とは：Node.jsが対象外とする範囲と、自分のコードでの対策
プロトタイプ汚染は、外部入力に含まれる特殊なキーが再帰的マージなどを通って、JavaScriptの組み込みプロトタイプを書き換えてしまう欠陥。結果は2種類：設定した覚えのないプロパティが至るところに現れる（認可やオプションの判定が狂う）か、組み込みメソッドが消えてアプリが落ちる。重要なのは責任の所在で、Node.js公式は『これはNode.jsコアの脆弱性とは見なさない。ただしアプリと依存の層で防げ』と明記している。つまりアップデートを待っても直らない。
OpenSSLとは：HTTPSの暗号化を担うライブラリと、その守り方
OpenSSL＝HTTPS(TLS/SSL)と暗号処理を担うオープンソースの基盤ライブラリ。多くの人は直接書かず、Webサーバー・OS・言語ランタイム経由で継承して使う。だから1つのバグの影響範囲が巨大（Heartbleedが典型）。守り方は、①自分の環境が使うOpenSSLを把握 ②EOL版を使わない ③基盤ライブラリもCVE監視 ④重大時は速やかに更新。当サイトが配る証明書も、その下でOpenSSL系の実装が動いている。
脆弱性(CVE)対応の実務：直しきって、再発を監視し続ける手順
脆弱性対応は『直した』で終わらない。完了＝①スキャン②修正③隔離/引き継ぎ④監視の4点が揃って初めて。特に監視（日次の変化検知）を載せるまでは未完——依存は明日また脆弱になるから。修正の中身が100点でも、次のデプロイで消える運用なら0点。小さな現場でも、自動の変化検知と『local→push→deploy』の規律で十分に守れる。
osv-scannerの導入と使い方：依存パッケージのCVEを自動で見つける
osv-scannerはロックファイルやコンテナを走査して依存のCVEを洗い出す無料ツール。導入・実行・CI組込みを手順化し、npm/pnpm audit・Dependabotとの使い分けまで整理する。当サイトの考え：どのツールが合うかは自分の構成で決まる。複数言語混在やGitHub非依存ならosv-scanner、単一npmなら同梱のpnpm auditで十分。
Log4Shell（CVE-2021-44228）— ログ出力ライブラリの脆弱性と、使っているかすぐに確認できなかった理由
Log4jの脆弱性(CVSS 10.0)。核心は『間接的な依存（推移的依存）で、知らないうちに使っている』ことの危険。ログ出力という受け身の処理が攻撃経路になった。SBOMと依存の機械監視、迅速なパッチ、追随CVEの追跡が教訓。
XZ Utils バックドア（CVE-2024-3094）— 信頼を得た共同維持者が仕込んだサプライチェーン攻撃
圧縮ライブラリxzに、信頼を得た維持者がバックドアを仕込んだサプライチェーン攻撃。安定版到達寸前で一技術者の『遅い』という違和感が食い止めた。コードでなく『人と信頼』が狙われた。依存の最小化・版固定・再現性・違和感の追跡・維持者支援が教訓。
Next.js を安全に運用する：公開済みCVEに後れを取らないしくみ
フレームワークの最大リスクは公開済みCVEの放置。実稼働版で判定し、Dependabot/osv-scannerで機械監視、迅速更新、最小権限の4つの対策で守る。当サイトの視点：個人開発者に足りないのは知識より、運用を続ける仕組み。速く知ることより、見落とさない仕組みを優先する。