概要
画像メタデータ（Exif, IPTC, XMP, ICCなど）の読み書き、削除、変更を行うC++ライブラリおよびコマンドラインユーティリティであるExiv2において、バージョン0.28.8より前のバージョンに境界外読み取りの脆弱性（CVE-2026-27596）が発見されました。この脆弱性はExiv2のプレビューコンポーネントに存在し、特定のコマンドライン引数（例: -pp）を付けてExiv2を実行した場合にのみトリガーされます。報告によると、4GBオフセットでの境界外読み取りが発生し、通常はExiv2アプリケーションのクラッシュを引き起こす可能性があります。本脆弱性はバージョン0.28.8で修正されています。
影響範囲
Exiv2ライブラリおよびコマンドラインユーティリティのバージョン0.28.8より前のバージョンが影響を受けます。特に、プレビュー機能を使用する際に影響が生じる可能性があります。
想定される影響
- Exiv2アプリケーションの異常終了（クラッシュ）が発生し、サービスの可用性に影響を与える可能性があります。
- 境界外読み取りは、メモリ内の意図しない領域のデータを読み出す可能性があるため、理論的には情報漏洩につながるリスクも考えられますが、本件では主にクラッシュが報告されています。
攻撃成立条件・悪用状況
本脆弱性は、Exiv2をコマンドライン引数-ppを付けて実行した場合にのみトリガーされると報告されています。現時点では、この脆弱性が実際に悪用されたという具体的な報告は確認されていません。
推奨対策（優先度付き）
最優先で実施
- Exiv2のアップデート: 使用しているExiv2ライブラリおよびユーティリティを、脆弱性が修正されたバージョン0.28.8以降に速やかにアップデートしてください。
中長期的な対策
- 依存関係の確認: 自社のシステムやアプリケーションがExiv2ライブラリに依存している場合、その依存関係を特定し、最新バージョンへの更新計画を策定してください。
- 定期的なパッチ管理: ソフトウェアの脆弱性スキャンとパッチ管理プロセスを確立し、常に使用している全てのソフトウェアを最新の状態に保つことを推奨します。
一時的な緩和策
- プレビュー機能の使用回避: Exiv2のプレビュー機能（
-ppコマンドライン引数）の使用を避けることで、本脆弱性のトリガーを回避できる可能性があります。 - 実行環境の制限: 可能であれば、Exiv2の実行環境を隔離し、信頼できない入力ファイルを処理しないように制限することも検討してください。
確認方法
現在使用しているExiv2のバージョンを確認してください。コマンドラインでexiv2 --versionなどを実行することで確認できる場合があります。バージョンが0.28.8未満であれば、本脆弱性の影響を受ける可能性があります。
参考情報
本脆弱性の詳細については、以下のリンクを参照してください。