概要
rui314 moldのバージョン2.40.4以前において、オブジェクトファイルハンドラーコンポーネントのsrc/input-files.ccファイル内のmold::ObjectFilemold::X86_64::initialize_sections関数にヒープベースのバッファオーバーフローの脆弱性（CVE-2026-3994）が報告されています。この問題は、特定の操作を行うことで発生する可能性があります。
影響範囲
影響を受ける製品およびバージョンは以下の通りです。
rui314 moldバージョン 2.40.4 およびそれ以前
特に、オブジェクトファイル処理に関連するコンポーネントが影響を受けるとされています。
想定される影響
本脆弱性が悪用された場合、ヒープベースのバッファオーバーフローが発生する可能性があります。これにより、攻撃者によって任意のコードが実行されたり、サービス拒否（DoS）状態に陥ったりする危険性があると考えられます。
攻撃成立条件・悪用状況
攻撃成立条件
この脆弱性の悪用には、対象システムへのローカルアクセスが必要と報告されています。リモートからの直接的な攻撃は難しい可能性がありますが、他の脆弱性と組み合わせることで攻撃範囲が広がる可能性も考慮すべきです。
悪用状況
既にこの脆弱性を悪用するエクスプロイトコードが公開されており、実際に悪用される可能性があるとされています。
ベンダー対応
開発元であるプロジェクトには早期に問題が報告されていますが、現時点ではまだ公式な対応やパッチの提供に関する応答はないとされています。
推奨対策
今すぐできる対策（優先度：高）
- 情報収集の継続:
rui314 moldの公式発表やセキュリティ情報源を継続的に監視し、本脆弱性に関するパッチやアップデートがリリースされ次第、速やかに適用を検討してください。エクスプロイトコードが公開されているため、迅速な対応が求められます。 - アクセス制御の強化: ローカルからの攻撃が前提となるため、対象システムへの物理的および論理的なアクセス制御を厳格化し、不正なローカルアクセスを防止してください。
中長期的な対策（優先度：中）
- ソフトウェア資産の棚卸し: 組織内で
rui314 moldがどのシステムで、どのバージョンが利用されているかを正確に把握し、影響範囲を特定してください。 - セキュリティパッチ適用計画の策定: 今後のセキュリティパッチリリースに備え、適用計画を事前に策定し、テスト環境での検証を経て本番環境への適用を進める体制を整えてください。
一時的な緩和策
ローカルからの攻撃が必須であるため、以下の対策が一時的な緩和策として考えられます。
- 対象システムへのユーザーアカウントの最小権限原則の適用。
- 不必要なサービスの停止やポートの閉鎖。
- セキュリティ監視の強化により、異常なローカルアクティビティを早期に検知する体制の構築。
確認方法
ご自身の環境でrui314 moldを使用している場合、そのバージョンが2.40.4以前であるかを確認してください。具体的な確認方法は、moldのドキュメントを参照するか、コマンドラインからバージョン情報を確認するコマンドを実行してください。
参考情報
- CVE-2026-3994 詳細: https://cvefeed.io/vuln/detail/CVE-2026-3994