概要
Squirrelのバージョン3.2以前において、sqstdlib/sqstdrex.cppライブラリ内のsqstd_rex_newnode関数にヌルポインタ参照解除の脆弱性（CVE-2026-3389）が報告されました。この脆弱性が悪用された場合、システムが不安定になるなどの影響が発生する可能性があります。
本脆弱性は、CVSSv3スコアで4.8（MEDIUM）と評価されています。
影響範囲
影響を受ける製品・バージョン
- Squirrel バージョン 3.2 以前
具体的にどの製品やシステムがSquirrelを使用しているかについては、各製品のベンダー情報をご確認ください。
想定される影響
本脆弱性が悪用された場合、ヌルポインタ参照解除により、アプリケーションのクラッシュやサービス停止など、システムが不安定になる可能性があります。これにより、業務継続性や可用性に影響を及ぼす恐れがあります。
攻撃成立条件・悪用状況
攻撃成立条件
- 攻撃はローカル環境でのみ実行可能と報告されています。つまり、攻撃者は対象システムへのローカルアクセス権限を持っている必要があります。
悪用状況
- 本脆弱性のエクスプロイトコードはすでに公開されており、悪用される可能性があると報告されています。
- 開発元であるSquirrelプロジェクトには早期に問題が報告されていますが、現時点では対応状況に関する公式な発表は確認されていません。
推奨対策
今すぐできる対策（優先度：高）
- 情報収集の継続: Squirrelプロジェクトからの公式発表やセキュリティアップデートに関する情報を継続的に監視してください。
- アクセス制御の強化: ローカルでの攻撃が前提となるため、システムへの物理的および論理的なアクセス制御を厳格化し、不正なローカルアクセスを防止してください。
中長期的な対策
- ソフトウェアのアップデート: Squirrelプロジェクトから修正版がリリースされ次第、速やかにアップデートを適用することを検討してください。
- 使用状況の確認: 自社のシステムやアプリケーションでSquirrelを使用しているかどうか、またそのバージョンを確認し、影響を受ける可能性がある場合は対策を検討してください。
一時的な緩和策
現時点では、具体的なパッチや修正プログラムが提供されていないため、直接的な緩和策は限定的です。前述の「アクセス制御の強化」が最も有効な一時的緩和策と考えられます。
確認方法
自社のシステムやアプリケーションでSquirrelを使用している場合、そのバージョンが3.2以前であるかを確認してください。通常、Squirrelのバージョン情報は、インストールディレクトリ内のドキュメントや設定ファイル、またはアプリケーションの起動ログなどで確認できる場合があります。