JVNDB-2026-007642

Anchore, Inc.のQuillにおける制限またはスロットリング無しのリソースの割り当てに関する脆弱性

Quillは任意のプラットフォームから簡単にMacバイナリの署名および公証を提供します。バージョンv0.7.1より前のQuillには、Appleの公証プロセス中にHTTPレスポンスボディのサイズ制限がない読み取り処理の脆弱性が存在します。悪用にはApple公証サービスのAPIレスポンスを改ざんする能力が必要であり、通常のネットワーク環境では適切なTLS証明書検証を伴うHTTPS通信のため不可能です。しかし、TLSインターセプトプロキシ（企業ネットワークで一般的に使用される）、侵害された証明機関、またはその他の信頼境界の違反がある環境ではリスクがあります。公証中にHTTPレスポンスを処理する際、Quillはサイズ制限なくレスポンスボディ全体をメモリに読み込みます。レスポンス内容を制御または改ざんできる攻撃者は任意の大きさのペイロードを返せるため、これによりQuillクライアントはメモリ不足に陥りクラッシュします。影響は可用性に限定され、機密性や完全性には影響しません。QuillのCLIとライブラリの両方が、公証操作に使用される場合に影響を受けます。この脆弱性はバージョン0.7.1で修正されました。

Anchore, Inc.

• Quill 0.7.1 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : DoS in Quill via unbounded read of HTTP response body during notarization  Advisory  anchore/quill  GitHub

1. 制限またはスロットリング無しのリソースの割り当て(CWE-770) [その他]

1. CVE-2026-31960

1. National Vulnerability Database (NVD) : CVE-2026-31960

• [2026年03月18日]
    掲載