JVNDB-2026-009416

Pseitzのlz4_flexにおける複数の脆弱性

lz4_flexはLZ4圧縮および解凍の純粋なRust実装です。バージョン0.11.5以下および0.12.0では、不正なLZ4データを解凍する際に初期化されていないメモリや以前の解凍操作からの機密情報が漏洩する可能性がありました。このライブラリはLZ4の「マッチコピー操作」中のオフセット値を適切に検証できず、出力バッファから範囲外の読み取りを許してしまっていました。ブロックベースのAPI関数（`decompress_into`、`decompress_into_with_dict`、および`safe-decode`が無効のときのその他の関数）が影響を受けますが、すべてのフレームAPIには影響がありません。この影響により、細工または不正なLZ4入力によって機密データや秘密情報が漏洩する可能性があります。この問題はバージョン0.11.6および0.12.1で修正されました。

Pseitz

• lz4_flex 0.11.6 未満
• lz4_flex 0.12.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Decompressing invalid data can leak information from uninitialized memory or reused output buffer  Advisory  PSeitz/lz4_flex  GitHub

Rust Secure Code Working Group

• RustSec Advisory Database : RUSTSEC-2026-0041: lz4_flex: Decompressing invalid data can leak information from uninitialized memory or reused output buffer  RustSec Advisory Database

1. 送信データへの重要な情報の挿入(CWE-201) [その他]
2. 範囲外のポインタオフセットの使用(CWE-823) [その他]

1. CVE-2026-32829

1. National Vulnerability Database (NVD) : CVE-2026-32829
2. 関連文書 : fix handling of invalid match offsets during decompression  PSeitz/lz4_flex@055502e  GitHub

• [2026年04月01日]
    掲載