PATHハイジャックと環境変数汚染：OSコマンド実行の「見えない罠」を暴く
アプリケーション層のセキュリティを語る際、多くのエンジニアはSQLインジェクションやクロスサイトスクリプティング（XSS）に目を奪われがちだ。しかし、真のアーキテクトであれば、OSコマンド実行（OS Command Injection）の背後に潜む「OSの実行環境そのものの脆弱性」にこそ注意を払うべきだ。
特に、system()やexec()といった関数を呼び出す際、パスをフルパスで指定していないコードは、現代の複雑なコンテナ環境において「時限爆弾」と化す。今回は、PATH環境変数の汚染によるバイナリ置換攻撃という、古典的でありながら今なお強力な攻撃手法について、その深層を紐解く。
—
1. なぜ「相対パス」が地獄への入り口なのか
開発者が「lsを実行するだけだから」とコードに記述する際、OS内部では何が起きているか。OSはPATH環境変数に列挙されたディレクトリを先頭から順に検索し、最初に見つかったバイナリを実行する。
攻撃者がもし環境変数の一部を操作できる権限（あるいは設定ファイルの書き換え権限）を持っていた場合、/usr/local/bin/ls の代わりに、攻撃者が仕込んだ悪意あるスクリプトを /tmp/ls に配置し、PATHの先頭に /tmp を追加するだけで、アプリケーションは「偽物のls」を無防備に実行することになる。
攻撃シナリオ：バイナリのすり替え
1. 注入: 攻撃者がアプリケーションの構成ファイルやWebシェル経由で環境変数を汚染する。
2. 待機: ターゲットのアプリケーションが外部コマンドを呼び出すタイミングを待つ。
3. 実行: 昇格された権限（例えばwww-dataやroot）で、攻撃者が用意したバックドアが起動する。
これは単なるコマンド注入ではない。「実行環境の信頼性を乗っ取る」という、アーキテクチャそのものの無効化だ。
—
2. アーキテクトが実装すべき「防衛層」
この脅威を根絶するために、我々が守るべき原則はただ一つ。「実行するバイナリは、完全に指定された絶対パスでなければならない」ということだ。
不適切な実装例（言語共通）
// 危険：PATH環境変数に依存し、バイナリの探索順序が攻撃者の制御下に置かれる
system(“ls -l /var/www/uploads”);
推奨される実装例（C/C++での堅牢な呼び出し）
include
include
// 対策：フルパスを指定し、引数を明確に分離する（execveの使用）
void execute_safe_command() {
char args[] = {“/bin/ls”, “-l”, “/var/www/uploads”, NULL};
char env[] = {NULL}; // 環境変数をクリーンに保つ（必要最低限のみ引き継ぐ）
pid_t pid = fork();
if (pid == 0) {
// execveはシェルを経由しないため、コマンドインジェクションやPATH汚染の影響を受けない
execve(“/bin/ls”, args, env);
_exit(1); // 失敗した場合の安全な終了
} else {
wait(NULL);
}
}
—
3. コンテナセキュリティとガードレイル設計
現代のクラウドネイティブ環境では、Dockerfile内でのENV PATHの定義や、KubernetesのSecurityContextの設計が防衛の要となる。
セキュリティアーキテクトへの提言
1. PATHの固定化: コンテナ実行時の環境変数を可能な限り絞り込むこと。不要なディレクトリ（特に書き込み可能な/tmpや/var/tmp）をPATHに含めるのは論外だ。
2. Read-Only Root Filesystem: コンテナのルートファイルシステムを読み取り専用にし、悪意あるバイナリの設置を物理的に防ぐ。
3. プロンプトインジェクションとの相関: 生成AIを介してOSコマンドを生成・実行するアーキテクチャを採用している場合、LLMの出力結果を直接シェルに渡すことは、上記のような環境変数汚染と組み合わさることで、システム破壊の最短ルートとなる。LLMとOSの間に、必ず「型安全なコマンドバリデーター」を配置せよ。
—
最後に：防御は「疑うこと」から始まる
インシデントレスポンスの現場で私が常に痛感するのは、「システムは設計者が意図した通りには動かない。攻撃者が期待する通りに動く」という残酷な事実だ。
PATH環境変数は、OSが利便性のために提供している甘美な機能だが、セキュリティの観点では極めて脆弱な「共有変数」である。システムを設計する際、OSのデフォルトの挙動を信頼せず、実行するすべてのプロセスに対して「誰が、どこで、何を」実行するのかを厳密に制御すること。それが、今の時代に求められる最高峰の防衛技術だ。
読者諸君、次は自身のシステムでenvコマンドを叩き、PATHがどれほど汚染されているか確認することから始めてほしい。そこには、おそらく君たちがまだ気づいていない「穴」が口を開けて待っているはずだ。
コメント