プラットフォーム
python
コンポーネント
black
修正版
26.3.2
26.3.1
CVE-2026-32274は、Blackにおいて発見された任意ファイルアクセス脆弱性です。この脆弱性は、攻撃者が--python-cell-magicsオプションを介して任意のファイルシステム場所にファイルを書き込めることを意味します。影響を受けるバージョンはBlack 26.3.0以下です。Black 26.3.1で修正されており、ユーザーは最新バージョンへのアップグレードを推奨します。
この脆弱性を悪用されると、攻撃者はBlackがキャッシュファイルを書き込む際に、ファイル名を制御することで、任意の場所にファイルを書き込むことが可能になります。これにより、機密情報の窃取、システムの改ざん、さらにはリモートコード実行につながる可能性があります。攻撃者は、Blackの設定ファイルやログファイルなどを上書きすることで、システムの正常な動作を妨害することも考えられます。この脆弱性は、Blackをコマンドラインから実行する際に、ユーザーが制御できるオプションを適切にサニタイズしていないことが原因で発生しています。
この脆弱性は、2026年3月12日に公開されました。現時点では、公開されているPoCは確認されていませんが、攻撃者による悪用が懸念されます。CISA KEVカタログへの登録状況は不明です。この脆弱性は、Blackのセキュリティチームによって積極的に対応されており、早期の修正と対策が推奨されます。
Developers and DevOps teams using Black in automated pipelines or CI/CD systems are particularly at risk. Environments where Black is integrated with third-party tools or services that provide untrusted input to the --python-cell-magics option are also vulnerable. Shared hosting environments where multiple users have access to the Black command-line interface should be carefully reviewed.
• python / code formatting:
Get-Process -Name Black | Select-Object -ExpandProperty Path• python / code formatting: Check for unusual cache files in unexpected locations (e.g., /etc/passwd.black_cache).
• python / code formatting: Monitor command-line arguments passed to Black for suspicious paths or characters in the --python-cell-magics option.
• python / code formatting: Review Black configuration files for any hardcoded or default values for --python-cell-magics that could be exploited.
disclosure
エクスプロイト状況
EPSS
0.02% (5% パーセンタイル)
CISA SSVC
Black 26.3.1へのアップグレードが推奨される最も効果的な対策です。アップグレードが困難な場合は、--python-cell-magicsオプションに信頼できないユーザー入力を許可しないように設定してください。WAFやプロキシサーバーを使用して、悪意のあるファイル書き込みリクエストをブロックすることも有効です。また、Blackのログファイルを監視し、異常なファイルアクセスイベントを検出するためのルールを実装することも重要です。アップグレード後、ファイルシステムの整合性を確認し、不正なファイルが書き込まれていないことを確認してください。
Actualice Black a la versión 26.3.1 o superior. Esto corrige la vulnerabilidad que permite la escritura arbitraria de archivos debido a la falta de sanitización en la opción --python-cell-magics.
脆弱性分析と重要アラートをメールでお届けします。
CVE-2026-32274は、Blackのバージョン26.3.0以下に存在する任意ファイルアクセス脆弱性です。--python-cell-magicsオプションのサニタイズ不足により、攻撃者は任意のファイルシステム場所にキャッシュファイルを書き込めます。
Blackのバージョンが26.3.0以下である場合、この脆弱性に影響を受ける可能性があります。--python-cell-magicsオプションに信頼できないユーザー入力を許可している場合は、特に注意が必要です。
Black 26.3.1へのアップグレードが推奨されます。アップグレードが困難な場合は、--python-cell-magicsオプションに信頼できないユーザー入力を許可しないように設定してください。
現時点では、公開されているPoCは確認されていませんが、攻撃者による悪用が懸念されます。
Blackのセキュリティチームによって公開されているアドバイザリを参照してください。詳細はBlackの公式ウェブサイトをご確認ください。
requirements.txt ファイルをアップロードすると、影響の有無を即座にお知らせします。