概要
Honoは、あらゆるJavaScriptランタイムをサポートするWebアプリケーションフレームワークです。この度、Honoのバージョン4.12.4より前の環境において、静的ファイル配信機能であるserveStaticと、特定のルートに対するミドルウェアによる保護（例: app.use('/admin/*', ...)）を併用している場合に、保護された静的リソースが認証なしでアクセスされる脆弱性（CVE-2026-29045）が報告されました。
この脆弱性は、ルーターがdecodeURIを使用する一方で、serveStaticがdecodeURIComponentを使用するというURLデコード処理の不一致に起因します。この不一致により、エンコードされたスラッシュ（%2F）を含むパスがミドルウェアによる保護を迂回し、意図されたファイルシステムパスに解決されてしまう可能性があります。
影響範囲
本脆弱性の影響を受けるのは、以下の条件をすべて満たす環境です。
- Honoフレームワークのバージョン4.12.4より前のバージョンを使用している。
serveStatic機能を利用している。- ルートベースのミドルウェアによるアクセス保護を併用している。
想定される影響
本脆弱性が悪用された場合、本来であれば認証や特定の権限が必要な静的リソース（例: 管理画面のCSS/JSファイル、設定ファイル、ドキュメントなど）が、認証なしで外部から閲覧される可能性があります。これにより、機密情報の漏洩や、システム構成に関する情報が攻撃者に露呈するリスクが考えられます。
攻撃成立条件・悪用状況
攻撃は、Honoのバージョンが4.12.4未満であり、かつserveStaticとルートベースのミドルウェア保護が併用されている環境において、特定のURL構造を悪用することで成立する可能性があります。
現時点では、本脆弱性の具体的な悪用状況に関する詳細な報告は確認されていません。
推奨対策
今すぐできる対策
- Honoのアップデート: Honoをバージョン4.12.4以降に速やかにアップデートしてください。このバージョンで本脆弱性は修正されています。
中長期的な対策
- 定期的なソフトウェアアップデート: 使用しているすべてのライブラリやフレームワークについて、セキュリティアップデートが公開された際には速やかに適用する運用を確立してください。
- セキュリティ情報の継続的な収集: 利用しているソフトウェアに関する脆弱性情報を継続的に収集し、リスク評価と対策計画に役立ててください。
一時的な緩和策
Honoのアップデートが直ちに困難な場合、一時的な緩和策として、Webアプリケーションファイアウォール（WAF）などを用いて、エンコードされたスラッシュ（%2F）を含む特定のURLパターンへのアクセスをブロックすることを検討できます。ただし、これは根本的な解決策ではなく、誤検知や迂回のリスクも存在するため、あくまで一時的な措置としてください。
確認方法
ご自身の環境でHonoのバージョンを確認し、4.12.4未満である場合はアップデートを検討してください。また、アプリケーションコード内でserveStaticとルートベースのミドルウェア保護がどのように設定されているかを確認し、脆弱性の影響を受ける可能性がないかを評価してください。