JVNDB-2026-005888

Jun Kurihara (junkurihara)のhttpsig-rsにおける複数の脆弱性

httpsig-hyperはHTTPメッセージ署名のためのhyper拡張機能です。バージョン0.0.23未満のhttpsig-hyperにおいて、Rustのmatches!マクロの誤用によりDigestヘッダーの検証が不正に成功する問題が発見されました。具体的には、比較式if matches!(digest, _expected_digest)が_expected_digestを値の比較ではなくパターンバインディングとして扱い、このマッチ式が無条件で成功してしまいました。その結果、計算されたダイジェストが期待される値と一致しない場合でも、ダイジェスト検証が誤って成功を返す可能性があります。Digest検証をHTTPメッセージ署名の検証の一部として利用するアプリケーションは、メッセージ本文の改変を検出できなくなる恐れがあります。影響の重大性はライブラリの統合方法や追加の署名検証層の有無によって異なります。本問題はhttpsig-hyper 0.0.23で修正されており、誤ったmatches!の使用を正しい値比較に置き換え、さらに防御の深層化として定数時間比較によるダイジェスト検証を導入しています。再発防止のためのリグレッションテストも追加されています。ユーザーはパッチ適用済みのバージョンへアップグレードすることを強く推奨します。アップグレードなしでの確実な回避策は存在しません。直ちにアップグレードできないユーザーは、メッセージ完全性の確保にDigest検証のみを頼らず、アプリケーション層で完全なHTTPメッセージ署名検証を強制する必要があります。

Jun Kurihara (junkurihara)

• httpsig-rs 0.0.23 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Improper Digest Verification in httpsig-hyper May Allow Message Integrity Bypass  Advisory  junkurihara/httpsig-rs  GitHub

1. データの整合性検証不備(CWE-354) [その他]
2. 不適切な比較(CWE-697) [その他]

1. CVE-2026-26275

1. National Vulnerability Database (NVD) : CVE-2026-26275
2. 関連文書 : Merge pull request #14 from divi255/develop  junkurihara/httpsig-rs@65cbd19  GitHub
3. 関連文書 : urgent security fix: digest verification by divi255  Pull Request #14  junkurihara/httpsig-rs  GitHub
4. 関連文書 : Fix: Security hardening: constant-time digest comparison + regression tests by junkurihara  Pull Request #15  junkurihara/httpsig-rs  GitHub
5. 関連文書 : Merge pull request #15 from junkurihara/fix/constant-time-content-digest  junkurihara/httpsig-rs@5533f59  GitHub

• [2026年03月05日]
    掲載