JVNDB-2025-024876

Avahiにおけるリソースの枯渇に関する脆弱性

Avahiは、mDNS/DNS-SDプロトコルスイートを介してローカルネットワーク上でサービス検出を容易にするシステムです。バージョン0.9-rc2までの単純なプロトコルサーバーは、ドキュメント化されたクライアント制限を無視し、無制限の接続を受け入れてしまうため、簡単にローカルDoS攻撃を引き起こす可能性があります。`CLIENTS_MAX`は定義されていますが、`server_work()`は無条件に`accept()`を実行し、`client_new()`は常に新しいクライアントを追加し、`n_clients`をインクリメントします。制限に対するチェックは行われていません。avahi-daemonの最大ソケット数によりクライアントを受け入れられない場合、各接続ごとに無条件でエラーをログに記録します。権限のないローカルユーザーは、デーモンのメモリとファイルディスクリプタを枯渇させ、mDNS/DNS-SDのシステム全体にわたるサービス拒否を引き起こす可能性があります。ローカルのファイルディスクリプタが枯渇すると、各リクエストのエラーのログ記録によってシステムの負荷が増加します。過負荷は、nss-mdnsプラグインを使用するglibcの呼び出しによる`*.local.`名前とリンクローカルアドレスの解決を妨げます。公開時点で修正済みの既知のバージョンはありませんが、プルリクエスト808で候補となる修正が提供されており、いくつかの回避策も存在しています。単純なクライアントはnss-mdnsパッケージの機能として提供されています。unixソケット`/run/avahi-daemon/socket`は無効にできませんが、DBus経由で受信した解決要求には直接影響しません。ツールのavahi-resolve、avahi-resolve-address、およびavahi-resolve-host-nameは影響を受けず、これらはDBusインターフェースを使用しています。avahi-daemon起動後にunixソケットの権限を変更することは可能ですが、avahi-daemon自体にそのための設定はありません。SELinuxなどの追加のアクセス制限によって、望ましくないツールのソケットアクセスを防止し、信頼されたユーザーのために解決機能を維持することもできます。

Avahi

• Avahi 0.9 未満
• Avahi 0.9

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub Advisory Database : simple protocol server accepts unlimited connections and logs failures without limit (CVE-2025-59529)  Advisory  avahi/avahi  GitHub

ZeroPath Corp.

• ZeroPath : Avahi Simple Protocol Server DoS (CVE-2025-59529) - ZeroPath Blog | ZeroPath

1. リソースの枯渇(CWE-400) [その他]

1. CVE-2025-59529

1. National Vulnerability Database (NVD) : CVE-2025-59529
2. 関連文書 : oss-security - Avahi simple protocol server accepts unlimited connections [CVE-2025-59529]
3. 関連文書 : Simple client limits by pemensik  Pull Request #808  avahi/avahi  GitHub

• [2026年01月19日]
    掲載