GitHub、BlackのActionに検証不備、特定設定でコード実行の恐れ

GitHubは、psf/blackに同梱されたGitHub Actionの脆弱性を、CVE-2026-114134として掲載しています。use_pyproject: trueを設定している場合、攻撃用の変更提案を通じて、対象リポジトリの実行環境で任意のコードを実行される恐れがあります。掲載日は、提供された資料には書かれていません。

バージョン指定の検証不備が、参照先の変更につながる

今回の対象は、psf/blackに同梱されたGitHub Actionです。GitHub Actionは、リポジトリ上の作業を自動化する処理に使われます。Blackを利用しているという理由だけで、すべての環境が今回の対象になるわけではありません。

問題になるのは、use_pyproject: trueを設定した構成です。この設定では、pyproject.tomlのtool.black.required-versionからバージョンを読み取ります。しかし、読み取った値を検証せず、インストールするバージョンとして受け入れてしまいます。

GitHubによると、攻撃には対象リポジトリへのPRが使われます。PRは、コードや設定の変更を提案する仕組みです。攻撃者がPRでpyproject.tomlを書き換え、Blackの参照先を悪意あるリポジトリへ向けることで、被害者側の実行環境でコードを実行される恐れがあります。

確認の焦点は、Actionの利用有無だけではありません。インストール対象を決める値が、PRで変更される設定ファイルから読み取られる構成かどうかです。

修正版や実行条件の詳細は資料に記載なし

提供された資料には、影響する具体的なバージョン範囲、修正版、修正の提供時期は書かれていません。また、PRにどの権限や実行条件が必要かも示されていません。すべてのPRで直ちに攻撃が成立する、と広げて解釈しないことが重要です。

GitHubは、過去のCVE-2026-31900と類似する問題と説明しています。ただし、その問題への対策が今回にも有効かどうかは、資料からは確認できません。過去に対応した記録だけで、今回も対応済みと判断しないでください。

日本での提供は発表には書かれていません。国内の利用環境についても、まずは資料に示されたActionと設定の組み合わせで対象を確認する必要があります。

影響する会社・しない会社

• 影響する: psf/blackに同梱されたGitHub Actionを利用し、use_pyproject: trueを設定している会社です。開発担当者や委託先に、この設定の有無を確認してください。
• 影響しない: このGitHub Actionを利用していない会社は、今回示された対象には該当しません。別の方法でのBlack利用まで、影響があると説明されたものではありません。
• 影響しない: 当該Actionを利用していても、use_pyproject: trueを設定していない構成は、今回説明された影響条件には該当しません。他の問題がないことを保証する意味ではありません。

情シスが今日やること

1. 今日の確認作業で、開発担当者にpsf/black同梱のActionを使うリポジトリの一覧を依頼します。GitHub上で各リポジトリの自動処理の設定を開き、use_pyproject: trueの有無を記録してください。
2. 該当するリポジトリでは、pyproject.tomlのtool.black.required-versionを確認します。現在の値に加え、確認中のPRでこの項目が変更されていないかを、開発担当者と照合してください。
3. 該当設定が見つかったら、次の関連PRを実行・承認する前に、開発責任者とセキュリティ担当へ対象リポジトリと変更内容を共有します。設定を変更するか、関連する自動処理を一時的に止めるかを判断するよう依頼してください。
4. CVE-2026-114134のアドバイザリーで、修正版と対策の追記を確認します。資料に修正版がないため、更新先を推測して案内せず、確認結果と未確認事項を対応記録に残してください。