CVE-2026-110102 Powerlevel10kでTLS検証無効化による不正ダウンロード脆弱性
この記事はAIがNVDのCVE情報をもとに要約・生成したものです。影響範囲や対策は、必ずNVDおよび各ベンダーの公式情報をご確認ください。
Powerlevel10k 1.20.0 以下のバージョンで、gitstatus/install スクリプトが curl -k オプションを使用し、TLS証明書検証を無効化している問題が発覚しました。SHA-256 ユーティリティが存在しない場合、整合性チェックも行われず、ネットワーク上に位置する攻撃者が GitHub ミラーへのリクエストを乗っ取って悪意のあるアーカイブを注入できる可能性があります。これにより、ユーザーのアカウントで gitstatusd デーモンとして悪意のコードが実行されるリスクがあります。影響範囲は Powerlevel10k の利用者に限定されますが、リモートから任意のコードを実行される脆弱性のため、速やかな対応が求められます。確認時には curl のTLS設定やSHA-256の有無を確認し、公式リポジトリからのみダウンロードを行うなどの注意が必要です。
- NVD Detail (NVD) [日本語で表示]
ソクラテスの問い、プラトンの備え
プラトンよ、この脆弱性について考えたことはあるか。ネットワークの信頼性とソフトウェアの安全性の関係に何か気づいたか？
教師、確かに問題があります。curlのTLS証明書検証が無効化され、SHA-256がなければ整合性チェックも行われないのです。これにより、リモートからの攻撃が可能になるという点ですね。
では、Linux運用者はこの脆弱性の影響を避けるために、何をまず確認すべきだろう？
まず、システム内のcurlコマンドが本当にTLS証明書検証を有効にしているかを確認する必要があります。例えば、`curl –version`で`-k`オプションがデフォルトで有効になっていないかを確認しましょう。また、SHA-256ユーティリティ（例：sha256sum）がインストールされているかを確認するのも重要です。
だが、これらはあくまで確認作業に過ぎない。実際の対応ではどうすればよかろう？
Powerlevel10kのバージョンが1.20.0以下の場合は、公式リポジトリからパッチ適用を急いでください。変更管理の文書に記録し、再現テストを忘れずに。また、今後は公式リポジトリ以外からのダウンロードを避け、ネットワークミラーの信頼性を確認する習慣をつけるべきです。
監視の観点から見ると、この脆弱性を防ぐには何が重要か？
定期的に`gitstatusd`の動作を監視し、異常なプロセスや不正なファイルの生成をチェックする必要があります。また、ベンダーの公式情報（Powerlevel10kのリリースノートなど）を常に確認し、セキュリティアップデートを逃さないことが肝心です。
では、この脆弱性を教訓に、運用者は何を学ぶべきか？
「信頼は証明書で、安全は検証で」です。冗談はさておき、セキュリティの前提は常に「疑う」ことにあると再認識すべきでしょう。ただし、冗長なプロセスに陥らないよう、効率的な変更管理と自動監視ツールの活用も忘れてはなりません。
関連キーワード: curl