libjxlにおけるメモリ領域外読み出し

この脆弱性は、攻撃者が特別に細工されたJPEG XL画像をlibjxlに処理させることで悪用されます。脆弱性が悪用されると、攻撃者はstd::vector<std::vector<T>>への境界外アクセスを引き起こし、メモリ破壊を発生させることができます。これにより、システムがクラッシュするだけでなく、攻撃者は他のプロセスメモリの内容を読み取ったり、悪意のあるコードを実行したりする可能性があります。特に、libjxlを画像処理パイプラインに組み込んでいるアプリケーションは、この脆弱性の影響を受けやすいです。この脆弱性は、類似の画像処理ライブラリの脆弱性と同様に、機密情報の漏洩やシステムの制御喪失につながる可能性があります。

Applications and systems that utilize libjxl for JPEG XL image decoding are at risk. This includes image processing software, media players, and web applications that handle JPEG XL images. Specifically, systems relying on older, unpatched versions of libjxl (≤0.6.0) are particularly vulnerable.

• c/linux: Use lsof or ps to identify processes using libjxl. Monitor these processes for unexpected crashes or memory access errors. Review system logs for any errors related to libjxl or image decoding.

lsof | grep libjxl
ps aux | grep libjxl

• c/windows: Use Process Explorer to identify processes using libjxl. Monitor these processes for crashes or memory access violations. Examine Windows Event Logs for application errors related to libjxl. • generic web: If libjxl is used in a web application, monitor web server error logs for any errors related to image processing or decoding. Inspect HTTP requests for unusual JPEG XL image content.

1. 2021-11-01Disclosure

   disclosure

1. 予約済み2021-01-05
2. 公開日2021-11-01
3. 更新日2024-09-17
4. EPSS 更新日2026-04-02

この脆弱性への最も効果的な対策は、libjxlをバージョン0.6.0以降にアップグレードすることです。アップグレードが困難な場合は、libjxlのソースコードをパッチ適用することも可能です。パッチは、libjxlのGitHubリポジトリ（https://github.com/libjxl/libjxl/pull/757）で公開されています。また、WAF（Web Application Firewall）やプロキシサーバーを使用して、不正なJPEG XL画像のアップロードをブロックすることも有効です。libjxlを使用するアプリケーションの入力検証を強化し、不正な画像形式の処理を防止することも重要です。アップグレード後、libjxlのバージョンを確認し、脆弱性が修正されていることを確認してください。