セキュリティ

SECURITY

公開：2024-11-16

【CVE-2024-46955】Ghostscriptに境界外読み取りの脆弱性、バージョン10.04.0で修正パッチを提供

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

• Ghostscriptに境界外読み取りの脆弱性が発見
• 脆弱性はIndexedカラースペースの色読み取り時に発生
• バージョン10.04.0でセキュリティ修正を実施

Artifex Ghostscript 10.04.0未満のバージョンにおける脆弱性

Artifex Ghostscriptは2024年11月10日、バージョン10.04.0未満において境界外読み取りの脆弱性が発見されたと発表した。この脆弱性は【CVE-2024-46955】として識別されており、psi/zcolor.cファイル内でIndexedカラースペースの色を読み取る際に境界外読み取りが発生する問題となっている。^[1]

CVSSスコアは5.5（MEDIUM）と評価されており、攻撃者が特権なしで実行可能であるものの、ユーザーの関与が必要とされている。攻撃の影響範囲は限定的であり、主にシステムの可用性に影響を与える可能性があるが、情報漏洩やシステムの整合性への影響は報告されていない。

Artifexはこの脆弱性に対応するため、バージョン10.04.0でセキュリティパッチを提供している。セキュリティ研究者によって報告されたこの脆弱性は、CWE-125（境界外読み取り）に分類されており、修正済みバージョンへのアップデートが推奨されている。

CVE-2024-46955の詳細情報まとめ

境界外読み取りについて

境界外読み取りとは、プログラムが確保されたメモリ領域の範囲を超えてデータを読み取ろうとする脆弱性のことを指す。主な特徴として、以下のような点が挙げられる。

• 確保されたメモリ領域外のデータにアクセス
• システムクラッシュやメモリ破損の原因に
• 機密情報の漏洩リスクが存在

境界外読み取りの脆弱性は、特にIndexedカラースペースのような構造化されたデータを処理する際に発生しやすい特徴がある。Ghostscriptの事例では、psi/zcolor.cファイル内でIndexedカラースペースの色を読み取る際に境界外読み取りが発生し、システムの安定性に影響を与える可能性が指摘されている。

Ghostscriptの脆弱性に関する考察

今回の脆弱性はCVSSスコアこそ中程度とされているものの、PDFファイルの処理を行う基幹システムに影響を与える可能性があるため、迅速な対応が必要となっている。特にGhostscriptは多くのPDF処理システムで使用されているため、影響範囲が広範囲に及ぶ可能性があるだろう。

境界外読み取りの脆弱性は、メモリ管理の不備に起因する問題であり、今後も同様の問題が発生する可能性は否定できない。開発者はバッファオーバーフローやメモリ境界チェックなどの基本的なセキュリティ対策を徹底することで、同様の脆弱性の発生を未然に防ぐ必要があるだろう。

また、今回のような脆弱性は、セキュリティ研究者による発見と報告によって明らかになったという点で、セキュリティコミュニティの重要性も再認識される。今後はより一層、外部の専門家との協力体制を強化し、早期発見・早期対応の体制を整えていく必要がある。

参考サイト

1. ^ CVE. 「CVE Record | CVE」. https://www.cve.org/CVERecord?id=CVE-2024-46955, (参照 24-11-16).

※上記コンテンツはAIで確認しておりますが、間違い等ある場合はコメントよりご連絡いただけますと幸いです。

「セキュリティ」に関するコラム一覧「セキュリティ」に関するニュース一覧