JVNDB-2026-001167

International Color Consortium (ICC)のiccDEVにおける複数の脆弱性

iccDEVは、国際色彩コンソーシアム（ICC）のカラーマネジメントプロファイルの作成、操作、および適用を可能にする一連のライブラリおよびツールを提供します。バージョン2.3.1.2より前のバージョンには、`CIccTagXmlTagData::ToXml()`にタイプ混同の脆弱性が存在します。この脆弱性はICCカラープロファイルを処理するiccDEVライブラリのユーザーに影響を与えます。バージョン2.3.1.2には修正パッチが含まれています。既知の回避策はありません。

International Color Consortium (ICC)

• iccDEV 2.3.1.2 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
さらに、当該ソフトウェアの一部が停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub Advisory Database : Type Confusion in CIccTagXmlTagData::ToXml()  Advisory  InternationalColorConsortium/iccDEV  GitHub
• Issues : TC in CIccTagXmlTagData::ToXml() at IccXML/IccLibXML/IccTagXml.cpp:1730:7  Issue #393  InternationalColorConsortium/iccDEV

1. 不適切な入力確認(CWE-20) [その他]
2. 初期化されていない変数の使用(CWE-457) [その他]
3. API への入力に対する未定義の動作(CWE-475) [その他]
4. 型の取り違え(CWE-843) [NVD評価]

1. CVE-2026-21690

1. National Vulnerability Database (NVD) : CVE-2026-21690
2. 関連文書 : Fix: TC in CIccTagXmlTagData::ToXml() & CIccTag:IsTypeCompressed() by ChrisCoxArt  Pull Request #426  InternationalColorConsortium/iccDEV  GitHub

• [2026年01月14日]
    掲載