Nothings stb stb_vorbis.c の start_decoder における範囲外書き込み

stbライブラリにおいて、stbvorbis.cファイルのstartdecoder関数において、バージョン1.22まで脆弱性が発見されました。この脆弱性は、境界外書き込み（out-of-bounds write）を可能にし、これにより任意のコードの実行やサービス拒否につながる可能性があります。この脆弱性の深刻度はCVSS 6.3と評価されています。特に懸念されるのは、この脆弱性のエクスプロイトがすでに公開されており、攻撃のリスクが大幅に高まっていることです。この脆弱性はリモートから悪用できるため、stbを使用する幅広いシステムやアプリケーションに影響が及ぶ可能性があります。この脆弱性に関する初期の開示に対するベンダーの対応の欠如は特に懸念されるため、タイムリーな軽減策が困難になっています。

Applications that utilize Nothings stb for decoding Vorbis audio files are at risk. This includes multimedia players, audio processing tools, and any software that integrates stb for audio playback. Shared hosting environments where multiple applications share the same stb library are particularly vulnerable, as a compromise in one application could affect others.

• c/binary analysis: Examine binaries using stb for potential memory corruption patterns around the start_decoder function. Use tools like Valgrind or AddressSanitizer to detect out-of-bounds writes during runtime. • file integrity monitoring: Monitor for unexpected modifications to stb_vorbis.c or related libraries. • network traffic analysis: Look for unusual network requests containing potentially malicious media files. • code review: Review applications using Nothings stb for proper input validation and error handling related to media file parsing.

1. 2026-04-02Disclosure

   Public Disclosure

2. 2026-04-02PoC

   Exploit Released

1. 予約済み2026-04-01
2. 公開日2026-04-02
3. EPSS 更新日2026-04-09

ベンダーからの修正（fix）がないため、直近の軽減策は、stbのバージョン1.22以前の使用を避けることです。stbの使用が不可欠な場合は、start_decoder関数への入力データの厳格な検証などの追加のセキュリティ対策を実装することをお勧めします。これには、入力データサイズの制限とデータ整合性の検証が含まれます。さらに、影響を受けるシステムを悪用の兆候がないか注意深く監視します。修正されたstbバージョンへのアップグレードが最終的な解決策ですが、それが入手可能になるまで、これらの対策はリスクを軽減するのに役立ちます。ユーザーと開発者はこの脆弱性を認識し、システムを保護するために必要な措置を講じるよう強く推奨されます。