JVNDB-2026-014042

Hexにおける複数の脆弱性

hexpmのhex（Hex.RemoteConvergerモジュール）におけるデータ真正性の検証不足の脆弱性により、未検証のlockfileチェックサムを介して依存関係の整合性を回避することが可能です。Hexは再現可能で整合性が検証されたビルドを確保するために、mix.lockファイルに依存関係のチェックサムを保存します。しかし、Hex.RemoteConverger.verify_resolved/2関数は、Hex.Utils.lock/1が返す文字列ベースの依存関係名を使用しているのに対し、検証ロジックがアトムベースの名前と比較しているため、チェックサム検証を実行しません。この型の不一致により検証コードパスが静かにスキップされます。パッケージが最初にレジストリからダウンロードされる際にはチェックサムが検証されますが、lockfileと解決済み依存関係間の不一致は検出されません。キャッシュされたパッケージに影響を与えられる攻撃者（例えばローカルキャッシュの汚染やレジストリの侵害を介して）は、改ざんされた依存関係の内容を検出されずに受け入れさせることが可能です。mix.lockファイルはレジストリからのチェックサム値で静かに書き換えられ、改ざんの証拠が消去されます。この問題はhexの0.16.0から2.4.2未満のバージョンに影響します。

Hex

• Hex 0.16.0 以上 2.4.2 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

Erlang Ecosystem Foundation

• Erlang Ecosystem Foundation : Lockfile checksums not verified in Hex allows dependency integrity bypass | Erlang Ecosystem Foundation CNA

GitHub

• GitHub : Lockfile checksums not verified in Hex allows dependency integrity bypass  Advisory  hexpm/hex  GitHub

Open Source Vulnerabilities

• Open Source Vulnerabilities : EEF-CVE-2026-32148 - OSV

1. データの整合性検証不備(CWE-354) [その他]
2. ダウンロードしたコードの完全性検証不備(CWE-494) [その他]

1. CVE-2026-32148

1. National Vulnerability Database (NVD) : CVE-2026-32148
2. 関連文書 : Fix checksum verification for dependencies in mix.lock  hexpm/hex@d7528c8  GitHub

• [2026年05月07日]
    掲載