libarchiveにおいて、RARアーカイブ処理の際にLZSSスライディングウィンドウサイズの検証が不適切であるために、ヒープバッファオーバーリードの脆弱性が発見されました。この脆弱性を悪用されると、認証やユーザー操作なしに機密情報がヒープメモリから漏えいする可能性があります。影響を受けるバージョンは3.1.2以降です。現時点では修正バージョンは未定ですが、可能な限り最新バージョンへのアップデートを検討してください。
影響と攻撃シナリオ
攻撃者は、特別に細工されたRARアーカイブをlibarchiveに提供することで、この脆弱性を悪用できます。これにより、機密情報を含むヒープメモリの内容が外部に漏えいする可能性があります。漏えいする可能性のある情報には、アプリケーションの設定情報、暗号化キー、または機密データが含まれる可能性があります。攻撃者は、この情報を利用して、システムへの不正アクセスを試みたり、さらなる攻撃を仕掛けたりする可能性があります。この脆弱性は、RARアーカイブを処理するすべてのシステムに影響を及ぼす可能性があります。
悪用の状況
本脆弱性は2026年3月19日に公開されました。現時点では、公開されているPoCは確認されていませんが、RARアーカイブの処理に依存するシステムでは、悪用されるリスクが懸念されます。KEVへの登録状況やEPSSスコアは、現時点では不明です。NVDおよびCISAからの情報公開を注視してください。
脅威インテリジェンス
エクスプロイト状況
EPSS
0.17% (39% パーセンタイル)
CISA SSVC
CVSS ベクトル
これらのメトリクスの意味は？
- Attack Vector
- ネットワーク — インターネット経由でリモートから悪用可能。物理・ローカルアクセス不要。
- Attack Complexity
- 低 — 特別な条件不要。安定して悪用可能。
- Privileges Required
- なし — 認証不要。資格情報なしで悪用可能。
- User Interaction
- なし — 自動かつ無音の攻撃。被害者は何もしない。
- Scope
- 変化なし — 影響は脆弱なコンポーネントのみ。
- Confidentiality
- 高 — 機密性の完全喪失。全データが読み取り可能。
- Integrity
- なし — 完全性への影響なし。
- Availability
- なし — 可用性への影響なし。
影響を受けるソフトウェア
弱点分類 (CWE)
タイムライン
- Reserved
- 公開日
- 更新日
- EPSS 更新日
緩和策と回避策
修正バージョンが提供されるまでは、RARアーカイブの処理を一時的に停止するか、信頼できないソースからのRARアーカイブの処理を避けることを推奨します。また、WAFやプロキシサーバーを使用して、悪意のあるRARアーカイブのトラフィックをブロックすることも有効です。RARアーカイブの処理を完全に停止できない場合は、libarchiveのバージョンを可能な限り最新に保ち、セキュリティパッチを適用するようにしてください。RARアーカイブの処理を制限する設定や、入力データの検証を強化することも有効な対策となります。
修正方法翻訳中…
Actualizar la biblioteca libarchive a la versión 3.7.8 o superior para mitigar la vulnerabilidad de divulgación de información. Se recomienda aplicar las actualizaciones proporcionadas por Red Hat Enterprise Linux a través de los canales de actualización oficiales. Verificar las erratas de seguridad de Red Hat para obtener instrucciones detalladas.
よくある質問
CVE-2026-4424 — 情報漏えい in libarchiveとは何ですか？
CVE-2026-4424は、libarchiveのRARアーカイブ処理におけるヒープバッファオーバーリードの脆弱性です。攻撃者は、特別に細工されたRARアーカイブを提供することで、機密情報が漏えいする可能性があります。
CVE-2026-4424 in libarchiveの影響を受けていますか？
libarchiveのバージョンが3.1.2以降を使用している場合は、影響を受ける可能性があります。RARアーカイブを処理するシステムは、特に注意が必要です。
CVE-2026-4424 in libarchiveを修正するにはどうすればよいですか？
修正バージョンが提供されるまで、RARアーカイブの処理を一時的に停止するか、信頼できないソースからのアーカイブ処理を避けてください。最新バージョンへのアップデートを推奨します。
CVE-2026-4424は積極的に悪用されていますか？
現時点では公開されているPoCは確認されていませんが、悪用されるリスクは存在します。RARアーカイブの処理に依存するシステムは、注意が必要です。
CVE-2026-4424に関するlibarchiveの公式アドバイザリはどこで入手できますか？
libarchiveの公式アドバイザリは、libarchiveのウェブサイトまたは関連するセキュリティ情報サイトで確認できます。NVDおよびCISAからの情報公開を注視してください。
今すぐ試す — アカウント不要
Upload any manifest (composer.lock, package-lock.json, WordPress plugin list…) or paste your component list. You get a vulnerability report instantly. Uploading a file is just the start: with an account you get continuous monitoring, Slack/email alerts, multi-project and white-label reports.
依存関係ファイルをドラッグ＆ドロップ
composer.lock、package-lock.json、requirements.txt、Gemfile.lock、pubspec.lock、Dockerfile...