概要
CVE-2026-3285は、軽量スクリプト言語であるberry-lang berryのバージョン1.1.0までの製品に存在する脆弱性です。具体的には、ソースコードファイルsrc/be_lexer.c内のscan_string関数において、境界外読み取り（out-of-bounds read）が発生する可能性があります。この脆弱性の深刻度は「LOW」と評価されています。
影響範囲
- 対象製品: berry-lang berry
- 対象バージョン: 1.1.0までのバージョン
- 脆弱性箇所:
src/be_lexer.cファイル内のscan_string関数
想定される影響
この境界外読み取りの脆弱性が悪用された場合、プログラムが意図しないメモリ領域からデータを読み取ってしまう可能性があります。これにより、以下のような影響が考えられます。
- 情報漏洩: システムメモリ内の機密情報が不正に読み取られる可能性があります。
- サービス拒否（DoS）: 不正なメモリ読み取りにより、アプリケーションがクラッシュし、サービスが停止する可能性があります。
ただし、この脆弱性はローカルアクセスを必要とするため、直接的なリモートからの攻撃リスクは低いと考えられます。
攻撃成立条件・悪用状況
この脆弱性を悪用するには、攻撃者が対象システムへのローカルアクセス権限を持っている必要があります。また、この脆弱性を悪用するためのエクスプロイトコードが既に公開されており、悪用される可能性があると報告されています。
推奨対策
今すぐできる対策（優先度：高）
- パッチの適用: ベンダーから提供されているパッチ（パッチ名:
7149c59a39ba44feca261b12f06089f265fec176）を速やかに適用してください。 - 最新バージョンへのアップデート: 可能であれば、berry-lang berryの最新バージョンへのアップデートを検討してください。最新バージョンにはこの脆弱性に対する修正が含まれている可能性があります。
中長期的な対策
- 定期的な脆弱性診断: 使用しているシステムやアプリケーションに対して定期的に脆弱性診断を実施し、常に最新のセキュリティ情報を確認する体制を構築してください。
一時的な緩和策
この脆弱性はローカルアクセスを必要とするため、以下の対策が一時的な緩和策として有効である可能性があります。
- ローカルアクセスの制限: サーバーや開発環境への物理的・論理的なローカルアクセスを厳しく制限し、不正なアクセスを監視してください。
- 不審なファイルの実行制限: 信頼できないソースからのファイルやスクリプトの実行を制限するポリシーを適用してください。
確認方法
- 現在使用しているberry-lang berryのバージョンを確認し、影響を受けるバージョン（1.1.0まで）に該当するかどうかを確認してください。
- パッチ
7149c59a39ba44feca261b12f06089f265fec176が適用されているか、またはそれを含むバージョンにアップデートされているかを確認してください。