JVNDB-2026-008896

agronholmのcbor2における再帰制御に関する脆弱性

cbor2は、簡潔なバイナリオブジェクト表現（CBOR）のシリアル化フォーマットのエンコードおよびデコード機能を提供します。バージョン5.9.0以前には、深くネストされたCBOR構造をデコードする際に制御されていない再帰が発生し、サービス拒否（DoS）攻撃を受ける脆弱性が存在していました。この脆弱性は純粋なPython実装とC拡張モジュール`_cbor2`の両方に影響を与えます。C拡張モジュールはPythonの内部再帰制限である`Py_EnterRecursiveCall`に依存しており、データ駆動型の深さ制限がなく、制限に達すると`RecursionError`を発生させてワーカープロセスをクラッシュさせます。ライブラリは中程度のネストレベルは処理できますが、厳密な深さ制限を持っていません。攻撃者は約10万個のネストされた配列`0x81`を含む細工されたCBORペイロードを提供できます。`cbor2.loads()`がこれを解析しようとすると、Pythonインタプリタの最大再帰深度に達するかスタックが枯渇し、`RecursionError`によりプロセスがクラッシュします。ライブラリ自体が制限を強制しないため、外部の攻撃者はホストアプリケーションのスタックリソースを枯渇させることが可能です。多くのWebアプリケーションサーバ（例：GunicornやUvicorn）やタスクキュー（Celery）では、未処理の`RecursionError`によりワーカープロセスが即座に終了します。これらの小さな（100KB未満の）悪意あるパケットを連続して送信することで、攻撃者はワーカープロセスを繰り返しクラッシュさせ、結果としてアプリケーション全体のサービス拒否を引き起こすことができます。バージョン5.9.0でこの問題は修正されています。

agronholm

• cbor2 5.9.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Denial of Service in cbor2 via Deeply Nested CBOR Structures  Advisory  agronholm/cbor2  GitHub

1. 不適切な再帰制御(CWE-674) [その他]

1. CVE-2026-26209

1. National Vulnerability Database (NVD) : CVE-2026-26209
2. 関連文書 : Set default read_size to 1 for backwards compatibility by andreer  Pull Request #275  agronholm/cbor2  GitHub
3. 関連文書 : Release 5.9.0  agronholm/cbor2  GitHub
4. 関連文書 : Set default read_size to 1 for backwards compatibility (#275)  agronholm/cbor2@e61a5f3  GitHub

• [2026年03月27日]
    掲載