Git 依存関係のパス検証不備により、任意のファイルシステム変更が可能

CVE-2026-32146 は、Gleam コンパイラにおけるファイルシステム改ざんの脆弱性です。これは、Git 依存関係を処理する際のパス検証の不備が原因です。コンパイラは、gleam.toml および manifest.toml ファイルで指定された依存関係を解決する際、依存関係名を適切な検証なしにファイルシステムパスに組み込みます。攻撃者は、相対パストラバーサルシーケンス (例: ../) または絶対パスを使用して、意図された依存関係ディレクトリ外のファイルシステムロケーションをターゲットにすることができます。この脆弱性の重大度は、攻撃者が予期しない場所にファイルを書き込む可能性にあります。これにより、システム整合性が損なわれたり、悪意のあるコードの実行が可能になったりする可能性があります。現在、アクティブな悪用事例は報告されていませんが、脆弱性の性質上、重大なリスクとなります。

1. 予約済み2026-03-10
2. 公開日2026-04-11
3. 更新日2026-05-04
4. EPSS 更新日2026-04-19

この脆弱性に対する解決策は、Gleam コンパイラをバージョン 1.15.4-scratch にアップグレードすることです。このバージョンには、依存関係のダウンロード中に攻撃者がファイルパスを操作できないようにする、改善されたパス検証が含まれています。リスクを軽減するために、直ちにアップグレードすることを強くお勧めします。さらに、Gleam プロジェクトで使用されている依存関係を調べて、悪用される可能性のある悪意のある依存関係名が使用されていないことを確認してください。依存関係ダウンロードプロセスに関連するシステムログの異常なアクティビティを監視することも、潜在的な悪用試行を検出するのに役立ちます。アップグレードが最も重要な予防措置です。