JVNDB-2026-009613

Anchore, Inc.のSyftにおける例外発生時の状態の消去に関する脆弱性

Syftはコンテナイメージやファイルシステムからソフトウェア部品表（SBOM）を生成するためのCLIツールおよびGoライブラリです。v1.42.3以前のSyftのバージョンでは、スキャン中に一時ストレージが不足した場合に適切に一時ストレージをクリーンアップしませんでした。アーカイブをスキャンする際、Syftはそれらのアーカイブを一時ストレージに展開し、展開された内容を検査します。通常の動作では、スキャン完了後に書き込んだ一時データを削除します。この脆弱性は、一時ストレージを満たす可能性のあるコンテンツをスキャンするユーザーに影響を与え、その結果Syftがエラーを発生させて終了します。エラー発生時にSyftは使用中の一時ファイルを適切に削除せずに終了するためです。テストでは非常に大きなアーティファクトやZIP爆弾のような高度に圧縮されたアーティファクトをスキャンすることで最も容易に再現されました。Syftが一時ファイルをクリーンアップしないため、一時ファイルストレージが満杯になり、Syftや一時ストレージに依存する他のシステムユーティリティの将来的な実行が妨げられます。この問題はv1.42.3で修正されており、エラー発生時にも一時ファイルをクリーンアップするようになりました。Syftにはこの脆弱性に対する回避策はなく、一時ストレージが枯渇したユーザーは手動で一時ファイルを削除する必要があります。

Anchore, Inc.

• Syft 1.42.3 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアの一部が停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Syft improper temporary file cleanup  Advisory  anchore/syft  GitHub

1. 例外発生時の不適切な状態の消去(CWE-460) [その他]

1. CVE-2026-33481

1. National Vulnerability Database (NVD) : CVE-2026-33481
2. 関連文書 : chore: call cleanup on tmpfile and replace some io.ReadAlls with streams by willmurphyscode  Pull Request #4629  anchore/syft  GitHub
3. 関連文書 : chore: centralize temp files and prefer streaming IO by willmurphyscode  Pull Request #4668  anchore/syft  GitHub
4. 関連文書 : fix(providers): clean up temp storage on errors by willmurphyscode  Pull Request #537  anchore/stereoscope  GitHub

• [2026年04月02日]
    掲載