Validação Incorreta do Caminho no Tratamento de Dependências do Git Permite Modificação Arbitrária do Sistema de Arquivos

A vulnerabilidade CVE-2026-32146 no compilador Gleam permite a modificação arbitrária do sistema de arquivos. Isso ocorre devido a uma validação inadequada de caminhos ao lidar com dependências do Git. O compilador, ao resolver dependências especificadas nos arquivos gleam.toml e manifest.toml, incorpora os nomes das dependências nos caminhos do sistema de arquivos sem uma validação adequada. Um atacante pode aproveitar isso usando sequências de travessia de diretórios relativas (como ../) ou caminhos absolutos para direcionar locais no sistema de arquivos fora do diretório de dependências pretendido. A gravidade desta vulnerabilidade reside na possibilidade de um atacante escrever arquivos em locais inesperados, comprometendo potencialmente a integridade do sistema ou permitindo a execução de código malicioso se explorado com sucesso. Embora nenhuma exploração ativa tenha sido relatada, a natureza da vulnerabilidade a torna um risco significativo.

1. Reservado2026-03-10
2. Publicada2026-04-11
3. Modificada2026-05-04
4. EPSS atualizado2026-04-19

A solução para esta vulnerabilidade é atualizar para a versão 1.15.4-scratch do compilador Gleam. Esta versão inclui uma validação de caminho aprimorada que impede que os atacantes manipulem os caminhos dos arquivos durante o download de dependências. Recomenda-se fortemente atualizar imediatamente para mitigar o risco. Além disso, é aconselhável revisar as dependências usadas nos projetos Gleam para garantir que nomes de dependências maliciosos não estejam sendo usados que poderiam ser explorados. Monitorar os logs do sistema em busca de atividades incomuns relacionadas ao processo de download de dependências também pode ajudar a detectar possíveis tentativas de exploração. A atualização é a medida preventiva mais importante.