概要
画像処理ライブラリであるlibvipsのバージョン8.19.0に、境界外読み取り（Out-of-bounds Read）の脆弱性（CVE-2026-3283）が報告されています。この脆弱性は、libvips/conversion/extract.cファイル内のvips_extract_band_build関数において、特定の引数（extract_band）の操作によって発生する可能性があります。
影響範囲
- 影響を受けるソフトウェア: libvips
- 影響を受けるバージョン: 8.19.0
- 影響を受けるコンポーネント:
libvips/conversion/extract.cファイル内のvips_extract_band_build関数
想定される影響
本脆弱性は境界外読み取りを引き起こす可能性があります。これにより、プログラムのクラッシュや、意図しない情報漏洩につながる可能性が考えられます。ただし、攻撃にはローカルアクセスが必要とされており、リモートからの直接的な悪用は報告されていません。
攻撃成立条件・悪用状況
- 攻撃には、脆弱性のあるシステムへのローカルアクセスが必要です。
extract_band引数の不正な操作によって脆弱性が誘発されると報告されています。- 本脆弱性に対するエクスプロイトコードは既に公開されており、悪用される可能性があります。
推奨対策
今すぐできる対策（優先度：高）
- パッチの適用: 開発元から提供されているパッチ（識別子:
24795bb3d19d84f7b6f5ed86451ad556c8f2fe70）を速やかに適用してください。libvipsを最新の修正済みバージョンにアップデートすることが最も効果的な対策です。
中長期的な対策
- ソフトウェア資産の棚卸し: libvipsを使用しているシステムやアプリケーションを特定し、影響範囲を正確に把握してください。
- セキュリティ情報の継続的な監視: libvipsに関する今後のセキュリティ情報に注意を払い、常に最新の状態を維持するよう努めてください。
一時的な緩和策
現時点では、具体的な一時的な緩和策は報告されていません。パッチの適用が困難な場合は、libvipsを使用するアプリケーションへのローカルアクセスを厳しく制限するなどの対策が考えられますが、根本的な解決にはなりません。
確認方法
ご使用のlibvipsのバージョンが8.19.0であるかを確認してください。また、パッチが適用されているか、または修正済みのバージョンにアップデートされているかを確認してください。
参考情報
詳細については、以下のリンクをご参照ください。