JVNDB-2026-006207

gmrtdにおける複数の脆弱性

gmrtdは、機械可読渡航文書（MRTD）を読み取るためのGoライブラリです。バージョン0.17.2以前では、ReadFileは最大4GBまでの長さを持つTLVを受け入れることができ、これによりメモリおよびCPUサイクルの無制限なリソース消費を引き起こす可能性がありました。ReadFileはICで利用可能な範囲を大幅に超えた長さを持つ拡張TLVを消費でき、最大4GBまでのサイズを受け入れることが可能であり、これにより256バイトのチャンクで多数の反復処理が必要となり、またメモリに制約のある環境（例えば携帯電話）では利用できないメモリの割り当てを試みることがありました。APIがReadFileにデータを送信する場合も同様の問題が発生します。非常に小さなチャンクでの読み取りは、非常に多くの反復にわたりゴルーチンをデータ受信にロックし続ける結果となります。gmrtdライブラリを使用してNFCからファイルを読み取るプロジェクトは、極端な速度低下やメモリ消費の増加を経験する可能性があります。悪意のあるNFCは、前述のモックトランシーバのように振る舞い、各チャンクにダミーバイトを送信するだけで受信スレッドを応答不能にし、ホストシステムのメモリを使い果たすことができます。バージョン0.17.2でこの問題は修正されました。

gmrtd

• gmrtd 0.17.2 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Unbounded TLV length in ReadFile can cause denial of service  Advisory  gmrtd/gmrtd  GitHub

1. リソースの枯渇(CWE-400) [その他]
2. 制限またはスロットリング無しのリソースの割り当て(CWE-770) [その他]

1. CVE-2026-24738

1. National Vulnerability Database (NVD) : CVE-2026-24738
2. 関連文書 : Release v0.17.2  gmrtd/gmrtd  GitHub
3. 関連文書 : Merge commit from fork  gmrtd/gmrtd@54469a9  GitHub

• [2026年03月06日]
    掲載