JVNDB-2026-005191

ImageMagickにおけるアクセス制御に関する脆弱性

ImageMagickは、デジタル画像の編集および操作に使用される無料でオープンソースのソフトウェアです。標準ストリームからの読み取りや書き込みを防止することを目的とした「secure」セキュリティポリシーにはルールが含まれています。しかし、ImageMagickはfd:nの疑似ファイル名（例：fd:0、fd:1）もサポートしています。バージョン7.1.2-15および6.9.13-40以前では、このパス形式がsecureポリシーテンプレートによってブロックされておらず、そのため「stdin/stdout禁止」の保護目的を回避してしまいます。バージョン7.1.2-15および6.9.13-40には、より安全なポリシーの変更をデフォルトで含むパッチが適用されています。対処方法としては、セキュリティポリシーにその変更を手動で追加することが推奨されます。

ImageMagick

• ImageMagick 6.9.13-40 未満
• ImageMagick 7.0.0-0 以上 7.1.2-15 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub Advisory Database : Security Policy Bypass through config/policy-secure.xml via "fd handler" leads to stdin/stdout access  Advisory  ImageMagick/ImageMagick  GitHub

1. 不適切なアクセス制御(CWE-284) [その他]
2. 情報不足(CWE-noinfo) [NVD評価]

1. CVE-2026-25966

1. National Vulnerability Database (NVD) : CVE-2026-25966

• [2026年02月27日]
    掲載