概要
quickjs-ngのJavaScriptエンジンにおいて、Use-after-free（解放後使用）の脆弱性「CVE-2026-3979」が報告されました。この脆弱性は、`quickjs.c`ファイル内の`js_iterator_concat_return`関数に存在し、特定の操作によって既に解放されたメモリ領域が再度使用される可能性があります。
この問題は、バージョン0.12.1までのquickjs-ng quickjsに影響を与えるとされています。脆弱性の悪用にはローカルアクセスが必要であり、既にエクスプロイトコードが公開されているため、注意が必要です。
影響範囲
- 対象製品: quickjs-ng quickjs
- 影響を受けるバージョン: 0.12.1まで
想定される影響
Use-after-freeの脆弱性が悪用された場合、以下のような影響が想定されます。
- 任意のコード実行: 攻撃者によって、システム上で任意のコードが実行される可能性があります。これにより、システムの完全な制御を奪われる危険性があります。
- サービス運用妨害（DoS）: アプリケーションやシステムがクラッシュし、サービスが停止する可能性があります。
- 情報漏洩: メモリ内の機密情報が不正に読み取られる可能性があります。
攻撃にはローカルアクセスが必要であるため、既にシステムにアクセス権を持つ攻撃者による権限昇格や、サンドボックスからの脱出などに利用される可能性があります。
攻撃成立条件・悪用状況
- 攻撃成立条件: 攻撃の成立には、対象システムへのローカルアクセスが必要です。
- 悪用状況: 既にエクスプロイトコードが公開されており、悪用される可能性があると報告されています。このため、リスクは高いと考えられます。
推奨対策
優先度：高
- パッチの適用: 開発元から提供されているパッチ（パッチ名: `daab4ad4bae4ef071ed0294618d6244e92def4cd`）を速やかに適用してください。これが最も推奨される対策です。
一時的な緩和策
本脆弱性に対する具体的な一時的な緩和策は報告されていません。パッチの適用が最も効果的かつ推奨される対策となります。パッチ適用が困難な場合は、quickjs-ngを使用する環境へのローカルアクセスを厳しく制限し、不審なアクティビティがないか監視を強化することが考えられますが、根本的な解決にはなりません。
確認方法
ご使用中のquickjs-ng quickjsのバージョンを確認し、バージョン0.12.1以下である場合は本脆弱性の影響を受ける可能性があります。開発元の情報やパッチの適用状況を確認してください。