npmのbinding.gypはインストール時に悪意あるコードを実行できる——見落とされがちな攻撃ベクター
npmのbinding.gypはインストール時に悪意あるコードを実行できる——見落とされがちな攻撃ベクター
| 項目 | 内容 |
|---|---|
| ジャンル | セキュリティ |
| 日付 | 2026-06-10 |
| 元記事 | Aikido Security |
要約
Aikido Securityがnpmのビルドファイルbinding.gypの危険性を詳細に解説した。binding.gypはネイティブ拡張のビルド定義ファイルだが、シェル展開・サンドボックスエスケープ・コンパイラハイジャックなどを通じてパッケージインストール時に悪意あるコードを実行できることが示された。サプライチェーン攻撃の経路としてpostinstallスクリプトは広く知られているが、binding.gypは監視の目が届きにくい攻撃ベクターとなっている。ネイティブ拡張（node-gypを使用するパッケージ）を依存関係に持つプロジェクトでは、binding.gypの内容も精査対象に含めるセキュリティレビューの実施が推奨される。