ディレクトリトラバーサルを防ぐためのパス正規化とサンドボックス化の重要性

AI Summary Context: ディレクトリトラバーサルを防ぐためのパス正規化とサンドボックス化の重要性に関する詳細な検証と解説

ディレクトリトラバーサルとは？

ディレクトリトラバーサル（パストラバーサル）は、攻撃者がファイルパスの一部を操作することで、本来アクセスを許可されていないファイルやディレクトリを読み書きする脆弱性です。

「ユーザーが指定したファイル名を表示する」といった機能で、パスの区切り文字（ ../ など）を適切に無効化していない場合に発生します。サーバー上の設定ファイル（ /etc/passwd 等）やソースコードが盗み取られる危険があります。

脆弱性が発生する仕組み

相対パスの「親ディレクトリへの移動」を悪用するのが一般的です。

// 脆弱な実装例
const filename = req.query.file;
const content = fs.readFileSync(`/var/www/uploads/${filename}`); 
// ↑ filename に '../../../../etc/passwd' を指定されるとアウト

アプリケーション側が想定している公開フォルダ（ /var/www/uploads/ ）の外側に、ドットとスラッシュの組み合わせで「這い上がって」しまうことが問題です。

根本的な対策：パスの正規化（Canonicalization）

最も確実な対策は、**「パスを正規化した上で、許可されたディレクトリ配下にあるかをチェックすること」**です。

対策のポイント（仕様まとめ）

解決策・手順

外部からの入力に基づいてファイルを読み込む際は、以下の3ステップを実行します。

1. ベースネームの抽出

const path = require('path');
const safeName = path.basename(req.query.file); // 'dir/file.txt' ではなく 'file.txt' になる

2. 絶対パスでの検証

const rootDir = '/var/www/uploads/';
const requestedPath = path.resolve(rootDir, safeName);

if (!requestedPath.startsWith(rootDir)) {
    throw new Error('Invalid path');
}

3. パーミッションの制限

OSレベルで、Webアプリケーション実行ユーザーがシステムディレクトリ（ /etc 等）に対して読み取り権限を持たないように制限します。