概要
CVE-2026-3384は、ChaiScriptのバージョン6.1.0までの製品に存在するセキュリティ脆弱性です。具体的には、include/chaiscript/language/chaiscript_eval.hppファイル内のchaiscript::eval::AST_Node_Impl::evalまたはchaiscript::eval::Function_Push_Pop関数に問題があると報告されています。この脆弱性が悪用されると、制御不能な再帰処理が発生する可能性があります。
攻撃はローカル環境から行われる必要があるとされており、この脆弱性を悪用するコードはすでに公開されているため、悪用される危険性があります。開発元には早期に問題が報告されていますが、現時点では対応状況は確認されていません。本脆弱性の深刻度は「MEDIUM」と評価されています。
影響範囲
- ChaiScript バージョン 6.1.0 までの製品が影響を受ける可能性があります。
- 特に、
include/chaiscript/language/chaiscript_eval.hpp内のchaiscript::eval::AST_Node_Impl::evalまたはchaiscript::eval::Function_Push_Pop関数を使用しているアプリケーションが影響を受ける可能性があります。
想定される影響
本脆弱性が悪用された場合、制御不能な再帰処理により、以下のような影響が発生する可能性があります。
- サービス拒否（DoS）状態：システムのリソースが枯渇し、ChaiScriptを使用しているアプリケーションがクラッシュしたり、応答しなくなる可能性があります。
- システムの安定性低下：予期せぬ動作やパフォーマンスの低下を引き起こす可能性があります。
攻撃成立条件・悪用状況
- 攻撃はローカル環境から行われる必要があると報告されています。これは、攻撃者が対象システムへの何らかのアクセス権を持っている必要があることを示唆しています。
- この脆弱性を悪用するコードはすでに公開されており、悪用される可能性があります。そのため、潜在的なリスクが高いと考えられます。
推奨対策
今すぐできる対策（優先度：高）
- 情報収集とバージョンアップの検討： ChaiScriptの公式情報源を継続的に監視し、本脆弱性に対する修正パッチや新しいバージョンがリリースされた場合は、速やかに適用することを強く推奨します。現時点では修正版のリリースは確認されていませんが、今後の動向に注意してください。
中長期的な対策
- セキュリティ情報の継続的な監視： ChaiScriptの公式リポジトリや関連するセキュリティ情報を定期的に確認し、本脆弱性に関する更新情報や対策の提供状況を把握してください。
- 入力値の検証強化： ChaiScriptを使用しているアプリケーションにおいて、外部からの入力が直接スクリプトエンジンに渡される場合、入力値のサニタイズや検証を徹底し、不正な入力が再帰処理を引き起こさないような設計を検討してください。
一時的な緩和策
- アクセス制御の厳格化： 攻撃がローカル環境から行われる必要があるため、ChaiScriptを使用しているシステムへのアクセス制御を厳格化し、信頼できないユーザーからのアクセスを制限することが有効な緩和策となり得ます。
- 利用箇所の見直し： ChaiScriptの利用箇所で、外部からの入力が直接
chaiscript::eval::AST_Node_Impl::evalやchaiscript::eval::Function_Push_Popに渡されないよう、入力値のフィルタリングや検証を強化することを検討してください。
確認方法
- ご自身のシステムで使用しているChaiScriptのバージョンを確認してください。バージョンが6.1.0以下である場合、本脆弱性の影響を受ける可能性があります。
- ChaiScriptのソースコードを直接確認できる場合は、
include/chaiscript/language/chaiscript_eval.hpp内の該当関数がどのように使用されているかを確認し、外部からの入力が制御不能な再帰処理を引き起こす可能性がないかを評価してください。
参考情報
- CVEfeed.io: CVE-2026-3384 詳細情報