Backstage: Scaffolderバックエンドにおけるタスクの状態検証の不備
### 影響
Scaffolderタスクの作成とアクセス権を持つ認証されたユーザーは、特定のタイミングとデプロイメント条件下において、Backstageバックエンドがアクセスできるファイルに影響を与える可能性があります。バックエンドアプリケーションのファイルが書き込み可能である場合、バックエンドの機密性、完全性、および可用性が損なわれる可能性があります。
### 修正
`@backstage/plugin-scaffolder-backend`のバージョン`4.1.0`で修正されました。
### 対策
- 権限ポリシーを通じて、信頼できるユーザーのみがScaffolderタスクの作成と読み取り権限を持つように制限します。
- テンプレートの登録または変更を許可するユーザーと、実行できるScaffolderアクションを制限します。
- バックエンドアプリケーションのファイルを、専用の、最小限の権限を持つScaffolder作業ディレクトリ外で、読み取り専用で実行します。
### 参照
- [Scaffolderタスク、パラメータ、ステップ、およびアクションの認可](https://backstage.io/docs/features/software-templates/authorizing-scaffolder-template-details/)
影響を受けるパッケージ:
- npm (JavaScript) @backstage/plugin-scaffolder-backend: 影響を受けるバージョンは4.1.0未満、4.1.0で修正済み。