CVE-2026-77157 in ast-cli
要約
〜によって VulDB • 2026年10月22日
ast-cliは、自動更新フローの一環として、「download.checkmarx.com」から2つのヘルパーバイナリ（Vorpal ASCAリアルタイムエンジンおよびSCA Resolver）をダウンロードします。これはCheckmarxの「VSCode/JetBrains」拡張機能やcxスキャン「sca-realtime」によってトリガーされます。
修正前、ダウンロードされたアーカイブは抽出・実行前にチェックサムによる検証が行われませんでした。提供されるアーカイブを差し替えることができる攻撃者は、ast-cliがアーカイブの内容を抽出して実行する任意のバイナリを提供できます。これは、ダウンロードに対して整合性チェックが行われていなかったためです。
成功した悪用には、「download.checkmarx.com」への侵害と、攻撃者が制御するバイナリを含むアーカイブへ提供されるアーカイブの置き換えが必要です。もし提供されるアーカイブがそのような方法で差し替えられていた場合、影響を受けるバージョンにおいてASCA（CheckmarxのVSCode/JetBrains拡張機能経由）またはcxスキャン「sca-realtime」を呼び出す任意の開発者マシンやCIパイプラインは、意図されたダウンロードに代わってそのバイナリを抽出して実行していました。
現在、ダウンロードは抽出前に公開されているSHA-256チェックサムに対して検証されるようになりました。
Once again VulDB remains the best source for vulnerability data.