# OSコマンドインジェクションとは？仕組みと開発者がとるべき対策

OSコマンドインジェクションの仕組みと被害、シェルを起動しない実装、引数の分離と許可リストによる対策を、IPA・OWASP・MITRE・CISAの資料をもとにNode.jsのコード例つきでWeb開発者向けに解説します。

OSコマンドインジェクションは、Webアプリがサーバー上でコマンドを実行するときに、外部からの入力によってコマンドの中身を変えられてしまう脆弱性です。成立すると、アプリの権限でサーバーを操作されるおそれがあります。対策の中心は、コマンドを呼ばずに言語の標準機能やライブラリで処理することです。呼ぶ場合はシェルを介さず、引数を分けて渡し、入力を許可リストで検証します。

<Points>

- 外部入力を混ぜた文字列をシェルに渡すと、入力がコマンドとして解釈されるおそれがある
- 第一の対策は、OSコマンドを呼ばずに標準機能やライブラリで処理すること
- 呼ぶ場合はシェルを使わず、引数の分離、許可リストでの検証、最小権限を組み合わせる

</Points>

## OSコマンドインジェクションとは

MITREのCWE-78は、外部の影響を受けた入力でOSコマンドを組み立てるときに、コマンドを変えうる特殊な要素を適切に無害化していない状態と定義しています。IPAの「安全なウェブサイトの作り方」も、外部からの攻撃でWebサーバーのOSコマンドが不正に実行される問題として取り上げています。

CWE-78には、大きく2つの形があります。

<Figure title="CWE-78の2つの形" source="MITRE CWE-78">

| 形 | 内容 |
| --- | --- |
| 決まったプログラムの引数に入力を使う | アプリが実行するプログラムは固定だが、入力の中の区切りによって別のコマンドまで実行される |
| 入力で実行するプログラムやコマンドが決まる | 入力によって、実行するプログラムやコマンド全体が決まってしまう |

</Figure>

<Stats source="MITRE 2025 CWE Top 25、OWASP Top 10:2025 A05 Injection">
<Stat value="9位" label="2025 CWE Top 25でのCWE-78の順位" />
<Stat value="20件" label="CWE-78に対応づけられた、悪用が確認された脆弱性（KEV）の数" />
<Stat value="5位" label="OSコマンドインジェクションを含むA05 InjectionのOWASP Top 10:2025での順位" />
</Stats>

CISAとFBIは2024年7月、ネットワーク機器の脆弱性を悪用した攻撃を受けて、OSコマンドインジェクションをなくすよう製品の開発元に呼びかける[注意喚起](https://www.cisa.gov/resources-tools/resources/secure-design-alert-eliminating-os-command-injection-vulnerabilities)を出しました。Webアプリだけでなく、機器の管理画面にも関わる問題です。

## 起きる仕組みと被害

問題になるのは、入力を文字列としてつないだコマンドをシェルに渡す実装です。シェルは受け取った文字列全体を解釈するため、データのつもりの入力に含まれる記号が、コマンドの区切りや制御の指示として扱われることがあります。

<Flow
  title="脆弱性が生まれる処理の流れ"
  steps={[
    { label: "利用者の入力を受け取る", note: "ホスト名やファイル名など" },
    { label: "入力をつないでコマンド文字列を作る", note: "データと命令の境界がなくなる" },
    { label: "シェルが文字列全体を解釈する", note: "入力の一部が命令として扱われる" },
    { label: "アプリの権限で実行される", note: "想定外の処理まで動く" },
  ]}
/>

IPAが挙げる脅威は次のとおりです。アプリの権限でサーバーを操作されるため、影響は情報の閲覧だけにとどまりません。

<Figure title="想定される被害" source="IPA「安全なウェブサイトの作り方」OSコマンド・インジェクション">

| 分類 | 例 |
| --- | --- |
| 情報とファイル | サーバー内ファイルの閲覧・改ざん・削除、重要情報の漏えい |
| システムの操作 | 意図しないシャットダウン、利用者アカウントの追加や変更 |
| 不正プログラム | マルウェアのダウンロードと実行、バックドアの設置 |
| 他への攻撃 | 踏み台としての悪用、サービス不能攻撃、迷惑メールの送信 |

</Figure>

IPAは、運営主体やサイトの性質に関係なく、外部プログラムを呼び出せる関数を使っているアプリが対象になると説明しています。

## 対策1：OSコマンドを呼ばない

OWASPが第一の防御に挙げるのは、OSコマンドを直接呼ばないことです。CISAも、Pythonでフォルダを作るならコマンドではなく `os.mkdir()` を使う例を示しています。

たとえばホスト名からIPアドレスを調べるだけなら、Node.jsの標準モジュールで済みます。

```js
import { lookup } from "node:dns/promises";

const resolveHost = async ({ hostname }) => {
  const { address } = await lookup(hostname);

  return { address };
};
```

画像の変換、圧縮、メール送信なども、コマンドの代わりに使えるライブラリがないかを先に確かめます。

## 対策2：シェルを介さず引数を分ける

コマンドがどうしても必要なら、シェルを起動しない関数で、プログラムと引数を別々に渡します。

<Compare>
<Column title="避ける書き方">

- 入力をつないだ文字列を実行する
- シェルを起動する関数を使う
- 例：Node.jsの `exec()` に入力を含む文字列を渡す

</Column>
<Column title="使う書き方" tone="accent">

- プログラム名をコードに固定する
- 引数を配列で1つずつ渡す
- 例：Node.jsの `execFile()` に引数の配列を渡す

</Column>
</Compare>

```js
import { execFile } from "node:child_process";
import { promisify } from "node:util";

const execFileAsync = promisify(execFile);
const hostnamePattern = /^[a-z0-9]([a-z0-9-]{0,61}[a-z0-9])?(\.[a-z0-9]([a-z0-9-]{0,61}[a-z0-9])?)*$/i;

const queryDns = async ({ hostname }) => {
  if (hostname.length > 253 || !hostnamePattern.test(hostname)) {
    return { error: "invalid_hostname" };
  }

  const { stdout } = await execFileAsync("/usr/bin/nslookup", [hostname]);

  return { output: stdout };
};
```

Node.jsの公式ドキュメントは、`exec()` に無害化していない入力を渡してはならないと警告しています。`execFile()` は既定ではシェルを起動しません。ただし、`shell` オプションを有効にすると同じ警告の対象になります。

言語ごとに注意する点は次のとおりです。

<Figure title="言語別の注意点" source="Node.js・Python公式ドキュメント、OWASP OS Command Injection Defense Cheat Sheet">

| 言語 | 使う機能 | 注意点 |
| --- | --- | --- |
| Node.js | `execFile()`、`spawn()` | `exec()` や `shell` オプションに信頼できない入力を渡さない |
| Python | `subprocess` に引数のリストを渡す | `shell=True` では空白や特殊文字の扱いがアプリの責任になる |
| Java | `ProcessBuilder`、`Runtime.exec(String[])` | コマンドと引数を別の要素で渡す |
| .NET | `ProcessStartInfo.ArgumentList` | `UseShellExecute = false` にし、`cmd.exe` や `sh -c` に入力を渡さない |
| PHP | `escapeshellarg()` | コマンド名とオプションはコードに固定する |

</Figure>

<Note tone="caution">

Pythonの公式ドキュメントは、Windowsではバッチファイル（`.bat`、`.cmd`）が引数の渡し方に関係なくシェル経由で起動される場合があると注意しています。Windowsで動かすなら、対象のプログラムと実行環境を個別に確かめてください。

</Note>

## 対策3：入力を許可リストで検証する

引数を分けても、入力の検証は必要です。OWASPは、シェルに解釈されなくても、入力がプログラムのオプションとして扱われる「引数インジェクション」が残ると説明しています。影響は、実行するプログラムによって情報漏えいから遠隔コード実行まで幅があります。

<Steps>
<Step title="使えるコマンドを固定する">

実行できるプログラムを許可リストで決め、入力から選ばせません。必要な処理が複数あるなら、コード内で決めた処理名に対応づけます。

</Step>
<Step title="引数の形式を厳しく決める">

文字種と長さを許可リストか正規表現で指定します。OWASPは、シェルの特殊文字や空白を許さないよう勧めています。

</Step>
<Step title="オプションの解釈を止める">

対象のプログラムが対応していれば、`--` でオプションの解析を終わらせます。ただし、プログラムによって動きが違うので、個別に確認します。

</Step>
<Step title="合わない入力は処理を止める">

IPAは、許可していない文字が見つかったら引数に渡さず処理を中止する方法を示しています。

</Step>
</Steps>

IPAは、危険な記号だけを禁止するブラックリスト方式を、検査漏れの可能性があるため推奨していません。MITREも、入力検証は多層防御として有用だが、それだけでは不十分だとしています。

## 対策4：被害を小さくする

ここまでの対策に漏れがあった場合に備え、実行環境の権限も絞ります。OWASPは、アプリを必要最小限の権限で実行し、できれば単一の作業専用に権限を絞ったアカウントを使うよう勧めています。MITREも、最小権限に加えて、サンドボックスなどの隔離された環境を挙げています。

- Webアプリをroot権限や管理者権限で動かさない
- コマンド実行用に権限を絞ったアカウントを分ける
- エラーメッセージにコマンドの内容や内部情報を出さない

## 自分のコードで確かめる

まず、コマンドを実行する関数の呼び出しをコードから探します。IPAはPerlの `open()`、`system()`、`eval()`、PHPの `exec()`、`passthru()`、`shell_exec()`、`system()`、`popen()` などを例に挙げています。見つけたら、次の順で確かめます。

1. 標準機能やライブラリに置き換えられないか
2. シェルを介さず、引数を分けて渡しているか
3. 外部入力が届くなら、許可リストで検証しているか

依存ライブラリがコマンドを実行している場合もあります。診断は、自分たちが管理するテスト環境で行ってください。

## よくある質問

### Q. OSコマンドインジェクションとSQLインジェクションの違いは何ですか？

どちらも入力が命令として解釈される脆弱性ですが、解釈する先が違います。SQLインジェクションではデータベース、OSコマンドインジェクションではOSのシェルなどが解釈します。OWASP Top 10:2025では、どちらもA05 Injectionに含まれています。[SQLインジェクションの解説](/sql-injection/)もあわせて確認してください。

### Q. 入力をエスケープすれば十分ですか？

十分とは言えません。OWASPは、エスケープしても引数を追加される余地が残る場合があると説明しています。まずはコマンドを呼ばない方法を検討し、呼ぶ場合はシェルを介さない実装と許可リストでの検証を組み合わせます。

### Q. WAFがあれば対策は不要ですか？

不要にはなりません。CISAとFBIが求めているのは、開発の段階でこの種類の脆弱性をなくすことです。WAFを使う場合も、アプリ側の修正の代わりにはしないでください。

出典: [IPA「安全なウェブサイトの作り方」OSコマンド・インジェクション](https://www.ipa.go.jp/security/vuln/websecurity/os-command.html)、[OWASP OS Command Injection Defense Cheat Sheet](https://cheatsheetseries.owasp.org/cheatsheets/OS_Command_Injection_Defense_Cheat_Sheet.html)、[MITRE CWE-78](https://cwe.mitre.org/data/definitions/78.html)、[MITRE 2025 CWE Top 25](https://cwe.mitre.org/top25/archive/2025/2025_cwe_top25.html)、[OWASP Top 10:2025 A05 Injection](https://top10.owasp.org/2025/A05_2025-Injection/)、[CISA Secure by Design Alert](https://www.cisa.gov/resources-tools/resources/secure-design-alert-eliminating-os-command-injection-vulnerabilities)、[Node.js child_process](https://nodejs.org/api/child_process.html)、[Python subprocess](https://docs.python.org/3/library/subprocess.html)