JVNDB-2026-007641

Anchore, Inc.のQuillにおける制限またはスロットリング無しのリソースの割り当てに関する脆弱性

Quillは任意のプラットフォームから簡単にMacバイナリの署名とノータリゼーションを提供します。バージョンv0.7.1以前のQuillには、Mach-Oバイナリを解析する際に境界のないメモリ割り当ての脆弱性があります。悪用するには攻撃者が提供したMach-OバイナリをQuillが処理する必要があり、これは主にCI/CDパイプライン、共有署名サービス、または外部から提出されたバイナリを署名に受け入れるワークフローなどの環境で起こり得ます。Mach-Oバイナリを解析する際にQuillはLC_CODE_SIGNATUREロードコマンドおよび埋め込まれたコード署名構造（SuperBlob、BlobIndex）からいくつかのサイズおよびカウントフィールドを読み取り、それらの値が適切かどうかや、実際のファイルサイズと整合しているかを検証せずにメモリバッファの割り当てに使用します。影響を受けるフィールドには、ロードコマンドのDataSize、DataOffset、Size、SuperBlobヘッダーのCount、および個々のblobヘッダーのLengthが含まれます。攻撃者はこれらのフィールドに極めて大きな値を持つ最小限（約4KB）の悪意あるMach-Oバイナリを作成でき、Quillは過剰なメモリ割り当てを試みます。これによりメモリ枯渇とサービス拒否が発生し、ホストプロセスがクラッシュする可能性があります。QuillのCLIおよびGoライブラリは信頼されていないMach-Oファイルを解析する場合に影響を受けます。この脆弱性はバージョン0.7.1で修正されています。

Anchore, Inc.

• Quill 0.7.1 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Unbounded memory allocation in Quill via unvalidated size fields in Mach-O binary parsing  Advisory  anchore/quill  GitHub

1. 制限またはスロットリング無しのリソースの割り当て(CWE-770) [その他]

1. CVE-2026-31961

1. National Vulnerability Database (NVD) : CVE-2026-31961

• [2026年03月18日]
    掲載