概要
Python製のPDFライブラリであるpypdfに、細工されたPDFファイルを処理する際に無限ループに陥る可能性のある脆弱性(CVE-2026-27628)が報告されました。この脆弱性は、PDFのクロスリファレンスストリームにおける循環的な「/Prev」エントリの読み込みによって引き起こされるとされています。
影響範囲
この脆弱性の影響を受けるのは、pypdfライブラリのバージョン6.7.2未満を使用しているシステムです。
- pypdfバージョン 6.7.2未満
想定される影響
攻撃者がこの脆弱性を悪用した場合、細工されたPDFファイルをpypdfライブラリで読み込ませることで、アプリケーションが無限ループに陥り、サービス拒否(DoS)状態となる可能性があります。これにより、システムリソースが枯渇し、正規のサービスが利用できなくなる恐れがあります。
攻撃成立条件・悪用状況
攻撃を成立させるには、攻撃者が特別に細工したPDFファイルを作成し、それを標的のシステムやアプリケーションに読み込ませる必要があります。現在のところ、この脆弱性が実際に悪用されたという報告は確認されていません。
推奨対策
今すぐできる対策
- pypdfライブラリのアップデート:
この脆弱性はpypdfバージョン6.7.2で修正されています。速やかにpypdfライブラリを最新バージョン（6.7.2以降）にアップデートすることを強く推奨します。
一時的な緩和策
- 手動でのパッチ適用:
直ちにアップデートが困難な場合は、開発元が提供するパッチを手動で適用することも緩和策として考えられます。詳細については、pypdfの公式リポジトリや関連ドキュメントをご確認ください。
確認方法
現在使用しているpypdfライブラリのバージョンを確認し、6.7.2未満である場合は脆弱性の影響を受ける可能性があります。Pythonのパッケージ管理ツール（例: pip）を使用してバージョンを確認してください。
pip show pypdf