概要
画像処理ライブラリであるlibvipsのバージョン8.18.0までの製品において、メモリ破損の脆弱性（CVE-2026-3145）が報告されました。この脆弱性は、libvips/foreign/matrixload.cファイル内のvips_foreign_load_matrix_file_is_aまたはvips_foreign_load_matrix_header関数に存在するとされています。細工された操作を実行することで、メモリ破損が発生する可能性があります。
この脆弱性の悪用には、攻撃者が対象システムにローカルアクセスできる必要があると報告されています。
影響範囲
本脆弱性の影響を受ける可能性があるのは、libvipsのバージョン8.18.0までの製品です。具体的には、以下の関数が影響を受ける要素として挙げられています。
vips_foreign_load_matrix_file_is_avips_foreign_load_matrix_header
想定される影響
メモリ破損が発生した場合、アプリケーションのクラッシュ、サービス停止、または予期せぬ動作を引き起こす可能性があります。場合によっては、攻撃者によって任意のコードが実行される可能性も指摘されていますが、本件における具体的な影響はさらなる分析が必要です。
攻撃成立条件・悪用状況
この脆弱性を悪用するには、攻撃者が対象システムにローカルアクセスできる必要があると報告されています。つまり、リモートからの直接的な攻撃は困難であると考えられます。
現時点では、この脆弱性が実際に悪用されたという報告は確認されていません。
推奨対策
優先度：高（今すぐできる対策）
- libvipsのアップデート: 開発元から提供されているパッチ（d4ce337c76bff1b278d7085c3c4f4725e3aa6ece）を適用し、libvipsを最新の修正済みバージョンにアップデートすることを強く推奨します。
優先度：中長期
- セキュリティパッチ管理の徹底: 利用している全てのソフトウェアについて、定期的な脆弱性情報の収集と、セキュリティパッチの適用計画を策定・実行してください。
一時的な緩和策
攻撃がローカルからのアクセスを必要とすることから、システムへの不正なローカルアクセスを厳しく制限することが一時的な緩和策として考えられます。物理的なセキュリティ対策の強化や、システムへのアクセス権限の厳格な管理を徹底してください。
確認方法
現在利用しているlibvipsのバージョンを確認し、影響を受けるバージョン（8.18.0まで）に該当しないか確認してください。バージョン情報は、通常、libvipsのドキュメントやインストールされているパッケージ情報から確認できます。