【活用ガイド】

JVNDB-2025-004719

XML パーサーライブラリ libexpat における不適切な再帰制御の脆弱性（CVE-2024-8176）

概要

libexpat は、RAM での処理が難しい大容量ファイル処理に適した、C 言語で記述されたストリーム指向のオープンソースの XML 解析ライブラリで、さまざまなソフトウェアや企業で使用されています。
libexpat に、CVE-2024-8176 として追跡されているスタック領域の枯渇を引きおこす可能性がある不適切な再帰制御の脆弱性（CWE-674）が存在します。深くネストされたエンティティ参照を含む XML 文書を解析する際の再帰処理により、スタック領域が枯渇してクラッシュを引き起こす可能性があります。

CVSS による深刻度 (CVSS とは?)

影響を受けるシステム


Expat development team
  • libexpat 2.7.0 より前のバージョン

想定される影響

libexpat を使用するソフトウェアにアクセスできる攻撃者によって、細工した XML ドキュメントを利用し、サービス運用妨害（DoS）攻撃やメモリ破損攻撃を引き起こされる可能性があります。
対策

[アップデートする]
本脆弱性は、libexpat バージョン 2.7.0 で修正されています。

libexpatを利用する場合は、自身のパッチをこちらの POC（https://github.com/libexpat/libexpat/issues/893#payload_generators）で検証可能です。

ベンダ情報

Expat development team
CWEによる脆弱性タイプ一覧  CWEとは?

  1. 認可判断のための非正規化 URL パスの使用(CWE-647) [その他]
共通脆弱性識別子(CVE)  CVEとは?

  1. CVE-2024-8176
参考情報

  1. JVN : JVNVU#94436634
  2. US-CERT Vulnerability Note : VU#760160
更新履歴

  • [2025年05月13日]
      掲載

公表日2025/05/12
登録日2025/05/13
最終更新日2025/05/13