JVNDB-2026-005751

libvipsにおける複数の脆弱性

libvips 8.19.0に脆弱性が発見されました。影響を受けるのはlibvips/conversion/extract.cファイルの関数vips_extract_area_buildです。引数extract_areaの操作により整数オーバーフローが発生します。攻撃にはローカルアクセスが必要です。エクスプロイトが公開されており、悪用される可能性があります。この問題を修正するためのパッチは24795bb3d19d84f7b6f5ed86451ad556c8f2fe70として特定されています。問題を修正するためにパッチを適用することが推奨されます。

libvips

• libvips 8.19.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : extract_area: signed integer overflow bypass leads to invalid region copy crash  Issue #4879  libvips/libvips (4879)
• GitHub : extract_area: signed integer overflow bypass leads to invalid region copy crash  Issue #4879  libvips/libvips (4879#issue-3944211794)

Vulnerability Database

• VulDB : vuldb.com
• VulDB : vuldb.com | 526: Invalid SSL certificate

1. 数値処理の問題(CWE-189) [その他]
2. 整数オーバーフローまたはラップアラウンド(CWE-190) [その他]

1. CVE-2026-3284

1. National Vulnerability Database (NVD) : CVE-2026-3284
2. 関連文書 : extract: check bounds using unsigned arith #4879 #4880 (#4887)  libvips/libvips@24795bb  GitHub
3. 関連文書 : extract: check bounds using unsigned arithmetic by lovell  Pull Request #4887  libvips/libvips  GitHub
4. 関連文書 : GitHub - libvips/libvips: A fast image processing library with low memory needs.

• [2026年03月04日]
    掲載