公式発表から言えること／言えないこと#

言えること

• 入口は画像アップロードサーバーだった。
• 攻撃者はホスト上で任意のコマンドを実行できた（いわゆる遠隔コード実行に相当する結果）。
• その後、データベースへ到達し大量のメタデータを持ち出した。
• パスワードそのものではなくハッシュ、決済情報は別系統、という分離は一部機能していた。

言えないこと

• 脆弱性が CWE-78（OSコマンドインジェクション）だったのか、デシリアライゼーション、テンプレートインジェクション、危険なファイルアップロード、依存ライブラリの RCE など別経路だったのかは、公式には特定されていない。
• どの言語・どの外部コマンド（画像変換ツール等）が関与したかも非公表である。

したがってこの記事では、Gyazo を「アップロードサーバー上の任意コマンド実行が、DB 全件規模の漏えいに直結しうる実例」として扱い、その典型原因である OSコマンドインジェクションを深掘りする。脆弱性クラスを Gyazo 事件に断定はしない。

定義#

CWE-78 の定義は次のとおりである²。

製品が、上流から来た外部入力を使って OS コマンドの全部または一部を組み立てるが、意図したコマンドを改変しうる特殊文字を正しく無効化（neutralize）しない。

IPA は、外部からの攻撃により Web サーバの OS コマンドを不正実行されてしまう問題を「OSコマンド・インジェクションの脆弱性」、その悪用を「OSコマンド・インジェクション攻撃」と呼ぶ⁴。OWASP は、フォーム・Cookie・HTTP ヘッダなど信頼できない入力をシステムシェルへ渡すときに成立し、実行権限は脆弱なアプリケーション自身の権限になると説明している⁷。

別名として shell injection も使われる²。OWASP Top 10:2025 では A05 Injection に含まれ、SQL・NoSQL・OS command・LDAP・式言語などが同じ「インタプリタにデータと命令が混ざる」問題として扱われる⁸。

CWE Top 25（2024）では CWE-78 は 7 位。発生件数そのものより、CISA の Known Exploited Vulnerabilities（KEV）に載った CVE 数では Top 25 中 3 位と、実害に繋がりやすいクラスである³⁹。

何が壊れているのか（データと命令の混同）#

アプリケーションは「ホスト名」「ファイル名」といった値を渡したつもりでも、シェルから見れば渡されたテキストはコマンドラインの一部である。シェルにとって意味のある記号（コマンド区切り、パイプ、リダイレクト、コマンド置換など）が混ざると、値ではなく構文として解釈される。

SQL インジェクションが引用符や OR でクエリ構造を変えるのと同じ構図である。違うのはインタプリタがデータベースではなく OS のシェルである点だけである⁸。

CWE は少なくとも 2 つの亜種を区別する²。

1. 固定プログラム＋引数注入 アプリは決まったコマンド（例: 名前解決、画像変換）だけを呼ぶつもりで、ユーザー入力をその引数にする。攻撃者はそのプログラムの実行自体は止められないが、コマンド区切りを引数に混ぜて後ろに別コマンドを足せる。
2. 実行するプログラム自体を入力で選ぶ 入力がコマンドライン全体になり、呼び出すバイナリごと攻撃者に渡る。

前者の方が「普通の機能実装」で起きやすく、画像アップロード・プレビュー生成・動画変換・PDF 変換・Ping 診断・メール送信ラッパなどに現れやすい。

関連する別クラス（混同しやすいもの）#

「任意のコマンドが動いた」だけでは CWE-78 と断定できない。デシリアライゼーション（CWE-502）や危険なファイル種別のアップロード（CWE-434）でも同じ結果になりうる。Gyazo 公式がクラス名を出していない理由は、この切り分けが調査中だから、という理解が妥当である。

なぜアップロードサーバーで起きやすいか#

IPA は「外部プログラムを呼び出し可能な関数を使っている Web アプリケーション」全般を注意対象とし、Perl / PHP の system / exec / open などを例示している⁴。画像共有サービスでは、次のような実装がコマンド呼び出しと外部入力を近づけやすい。

• アップロード直後に ImageMagick / GraphicsMagick / ffmpeg / Exif 解析ツール / OCR などを子プロセスとして起動する。
• ファイル名、拡張子、変換オプション、出力パスを文字列連結でコマンドラインに載せる。
• 「シェルのパイプやリダイレクトが便利」なので、言語の system() や shell=True 相当で一行の文字列を渡す。

CISA と FBI は、OSコマンドインジェクションは「ユーザー入力とコマンド内容を分離すれば防げる、長年知られた欠陥」であるにもかかわらず、ネットワーク機器等で実害が続いているとして Secure by Design Alert を出している⁶。Web のアップロード処理も、同じ「文字列でコマンドを組む」失敗をする。経路の内訳は次節。

言語側で特に危険とされるのは、コマンドプロセッサ（シェル）を起動する APIである。

• C / POSIX: system(), popen()（CERT は system() の不使用を原則とする）¹¹
• PHP: system(), exec(), passthru(), shell_exec(), popen()⁴
• Perl: open(), system(), eval() 等⁴
• Python: os.system()、subprocess の shell=True、文字列一本で渡す実行
• Java: 文字列連結したコマンドを Runtime.exec に渡す（ただし Java の Runtime.exec は C の system() と違いシェルを起動しない。区切り記号による連結は効かない一方、引数インジェクションや cmd /c の明示呼び出しは別問題）⁵⁷

画像アップロードサーバーで起きうる「コマンドが打てる」経路#

アップロード処理でコマンド実行に至る道は、よく一つの「OSコマンドインジェクション」にまとめられるが、入力の入口とシェルを呼ぶ主体が違う。Gyazo が扱うスクリーンショット・GIF・動画・OCR・取得元 URL は、いずれも下表のどこかに載りうる¹。Gyazo でどれが使われたかは非公表である。

1
[ブラウザ]
2
   │  ファイル本体 / ファイル名 / 変換オプション / 取得 URL
3
   ▼
4
[受信 API] ──(A) アプリがコマンド文字列を組む──► シェル ──► convert / ffmpeg / tesseract / wget
5
   │
6
   │  保存パスを引数配列で渡しても
7
   ├──(B) ファイル名が「オプション」になる (CWE-88)
8
   │
9
   ▼
10
[変換エンジン] ──(C) ファイル中身が delegate を起動──► ImageMagick が system() で wget/gs 等
11
   │
12
   └──(隣接) 実行可能ファイルの保存、パーサのメモリ破壊 RCE（インジェクションではない）

サーバ内ファイルの閲覧・改ざん・削除#

設定ファイル、環境変数、クラウドの認証情報ファイル、ソース、他ユーザーのアップロードに触れれば、重要情報の漏えいや設定改ざんが起きる。Gyazo で流出した画像 URL 構成情報・セッション ID・連携トークンは、アプリが DB に持っていたデータをコマンド実行後に読み出された結果として説明できる（経路の詳細は非公表）¹。

不正なシステム操作#

アカウント追加、サービスの停止、意図しないシャットダウンなど。可用性への直撃である。CWE は影響範囲を機密性・完全性・可用性・否認防止にまたがるとし、実行されたコマンドはアプリ自身の行為に見えるため追跡も難しくなると指摘する²。

不正プログラムの持ち込み#

ワーム、ボット、バックドア、仮想通貨マイナーなどの設置。一度入ると、入口の脆弱性を塞いでも残留する。Gyazo では 9月12日未明に不正接続切断と脆弱性修正、その後もフォレンジックを継続すると説明されている¹。任意コマンド実行案件では「直した＝掃除完了」にはならない。

他システムへの踏み台#

同一 VPC / 同一クラスタ上のデータベース、内部 API、メタデータサービス、他テナントへ横展開する。IPA は DoS、攻略のための偵察、迷惑メール送信を例に挙げる⁴。Gyazo で被害を大きくしたのは、アップロードサーバー上のコマンド実行がデータベース到達まで繋がった点である。入口が Web の 1 プロセスでも、そのプロセスが本番 DB の認証情報を持ち、ネットワーク的に届くなら、漏えい規模は「その 1 台」ではなく「DB に載っている全件」になる。

典型的に狙われる「その先」#

任意コマンド実行のあとに、実務でよく続くのは次である（一般的なインシデントパターンであり、Gyazo で使われた手順の再現ではない）。

• プロセスの環境変数・設定から DB 接続文字列やクラウドキーを読む。
• アプリと同じネットワークから DB クライアントを実行し、ダンプする。
• セッション ID や OAuth トークンを使い、正規ユーザーとして振る舞う。
• 画像 URL の秘密部分を一覧し、推測困難な URL 設計を無効化する。

Gyazo は画像 URL を推測困難な ID で守る設計だった、という解説が報道にある。それが事実だとしても、ID そのものが DB から持ち出されれば推測困難性は無意味になる。URL の秘匿は認可の代替にならない¹。

シェルを介さない場合でも残る攻撃#

OWASP の防御チートシートは、特殊文字をエスケープしても引数インジェクション（CWE-88）が残ると注意する⁵。シェルは起動していなくても、外部コマンドが「オプションとして解釈する文字列」をユーザーが渡せるため、情報開示から、コマンドによっては別のコード実行まで幅がある。防御は「記号を消す」だけでは足りない。

本丸：OSコマンドを呼ばない#

望む処理を、言語・フレームワークのライブラリで行う。CISA の例では、ディレクトリ作成にシェルの mkdir を使わず os.mkdir() を使う⁶。OWASP も「組み込みライブラリは、意図した以外の仕事に改変できない」ことを第一の防御とする⁵。画像処理なら、シェル越しの convert 呼び出しより、メモリ上で動く公式 SDK / バインディング（かつメンテナンスされているもの）を優先する。

「便利だからシェルで外部ツールを叩く」は、アップロード処理では特に高いコストの負債になる。

呼ぶなら：シェルを介さず、コマンドと引数を分離する#

避けられない場合の原則は次である。

1. 実行ファイルはハードコードする。ユーザーにコマンド名を選ばせない⁵。
2. オプションもハードコードする。ユーザー入力はオペランド（ファイルパスや URL など）に限定する⁵。
3. API は配列（リスト）で渡す。文字列連結でコマンドラインを作らない。
   • Python: subprocess.run(["tool", arg], shell=False)。CISA は PR チェックで os.system、文字列渡しの subprocess.run、shell=True を禁止するルールを推奨する⁶。
   • Java: ProcessBuilder にコマンドと引数を別要素で渡す⁵。
   • C: system() ではなく execve() 系²¹¹。
4. POSIX の -- でオプション終端を示す。ユーザー入力が - で始まっても追加オプションにならないようにする⁵。
5. 引数は許可リストで検証する。想定する文字種・長さ・形式以外は渡さず処理を中止する。IPA はホワイトリストを推奨し、| < > などを拒否するブラックリストは漏れが起きるので非推奨とする⁴。OWASP もコマンド自体を許可リスト、引数を許可リストまたは厳格な正規表現で検証する二層を求める⁵。

PHP でシェルが避けられない場合、OWASP は escapeshellarg() を escapeshellcmd() より優先する。後者は追加パラメータを止められない⁵。ただしエスケープは OS・ロケール・エンコーディング依存で壊れやすく、OWASP Top 10 も「パースとエスケープは誤りやすく、基盤のわずかな変更で破綻する」と警告している⁸。

入力検証の置き場所#

クライアント側チェックは迂回される（CWE-602）。検証はサーバ側で、コマンドに載せる直前にも行う²。 「自由文をメールの件名に載せる」のように記号を拒否できない入力は、拒否ではなく、シェルに渡さない設計に戻す。件名から ; を削ると機能が壊れ、残すとインジェクションになる、という CWE の指摘どおりである²。

固定のファイル名や URL の集合なら、ユーザー入力を実パスに直接使わず、数値 ID からサーバ側で実体へ写像する（Enforcement by Conversion）²。

被害を小さくする（防御の多層化）#

入口を塞いでも取りこぼしはある。CWE / OWASP / IPA が揃って求めるのは最小権限である²⁴⁵。

Helpfeel が再発防止で「認証・認可・アクセス制御」「監視・監査」「設計・開発・レビュー」を並べているのは、入口のパッチに加えてこの層を立て直す、という読みができる¹。

開発プロセスで潰す#

CISA は「1 件直す」のではなくクラスごと消すことを製造者に求めている⁶。

• 危険 API の使用を CI で拒否する（Semgrep 等のルール、言語の linter）。
• コードレビューで「外部入力がプロセス起動に届くか」を見る。ファイル名も入力である。
• SAST / DAST / IAST をパイプラインに載せる。OWASP はインジェクション検出にソースレビューと、パラメータ・ヘッダ・Cookie・JSON 等すべての入力への自動テスト（ファジング含む）の併用を勧める⁸。
• 画像・動画・文書の変換ライブラリは、シェルラッパではなくメンテされたバインディングを選び、CVE を追う。
• アップロード機能は「ファイルを保存する」だけでなく「保存後に外部コマンドが走るか」を脅威モデルに含める。