JVNDB-2026-008491

UltraJSON projectのUltraJSONにおける有効期限後のメモリの解放の欠如に関する脆弱性

UltraJSONは、Python 3.7以降向けにバインディングが備わった、純粋なCで書かれた高速なJSONエンコーダーおよびデコーダーです。バージョン5.4.0から5.11.0には、大きな整数（範囲[-2^63, 2^64 - 1]外の整数）をJSON解析する際にメモリリークが発生する問題があります。リークするメモリは、整数の文字列表現のコピーと追加のNULLバイトによるものです。このリークは、整数が正常に解析されるか、sys.get_int_max_str_digits()の桁数を超えているために拒否されるかに関わらず発生し、ペイロードの全体サイズに制限がなければ悪意あるJSONごとに任意の大きさのリークが可能です。ujson.load()、ujson.loads()、ujson.decode()を信頼できない入力に対して呼び出すすべてのサービスが影響を受け、サービス拒否攻撃に対して脆弱な状態になります。この問題はバージョン5.12.0で修正されました。

UltraJSON project

• UltraJSON 5.4.0 以上 5.12.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Memory Leak parsing large integers allows DoS   Advisory  ultrajson/ultrajson  GitHub

1. 有効期限後のメモリの解放の欠如(CWE-401) [その他]

1. CVE-2026-32874

1. National Vulnerability Database (NVD) : CVE-2026-32874
2. 関連文書 : Release 5.12.0  ultrajson/ultrajson  GitHub
3. 関連文書 : Fix memory leak parsing large integers  ultrajson/ultrajson@4baeb95  GitHub

• [2026年03月25日]
    掲載