TechDocsにおけるMkDocsプラグイン設定の不適切な検証
### 影響
TechDocsのソースリポジトリを制御できる認証された攻撃者が、ドキュメントのビルドプロセスにおいて、ビルド環境からアクセス可能なネットワーク上のデータを取り出し、公開する可能性があります。影響は、デプロイメント構成、ビルドモード、およびターゲットエンドポイントの保護状況によって異なります。トークンや特別なヘッダーを必要とする最新のクラウドメタデータサービスは、この問題の影響を受けません。
### 修正方法
適用可能なリリースラインに合わせて、`@backstage/plugin-techdocs-node`を修正されたバージョンにアップグレードしてください。
- `1.14.x`: `1.14.7`以降のバージョンにアップグレードしてください。これは[Backstage v1.50.6](https://github.com/backstage/backstage/releases/tag/v1.50.6)で提供されています。
- `1.15.x`: `1.15.5`以降のバージョンにアップグレードしてください。これは[Backstage v1.54.8](https://github.com/backstage/backstage/releases/tag/v1.54.8)で提供されています。
- 最新のメインライン: `2.0.0`以降のバージョンにアップグレードしてください。これは[Backstage v1.55.0](https://github.com/backstage/backstage/releases/tag/v1.55.0)で提供されています。
この更新により、組み込みの許可リストに含まれていないMkDocsプラグインが無効になります。追加のプラグインを使用したい場合は、それらをレビューし、`techdocs.generator.mkdocs.dangerouslyAllowAdditionalPlugins`を設定するか、ジェネレーターを作成する際に`dangerouslyAllowAdditionalPlugins`を指定してください。`defaultPlugins`で提供されるプラグインは引き続き許可されます。
### 対策
- TechDocsのソースリポジトリの制御とカタログへの登録を、信頼できる担当者に限定します。
- ドキュメントのビルドプロセスにおいて、外部ネットワークへのアクセスを制限します。
- トークンまたはヘッダーで保護されたクラウドインスタンスのメタデータサービスを使用します。
影響を受けるパッケージ：
- npm (JavaScript) `@backstage/plugin-techdocs-node`: 影響範囲は、0.11.12以上、1.14.7未満。1.14.7で修正済み。
- npm (JavaScript) `@backstage/plugin-techdocs-node`: 影響範囲は、1.15.0以上、1.15.5未満。1.15.5で修正済み。