JVNDB-2026-009946

PNG Development Groupのlibpngにおける解放済みメモリの使用に関する脆弱性

LIBPNGは、PNG（Portable Network Graphics）ラスター画像ファイルを読み込み、作成し、操作するアプリケーションで使用されるリファレンスライブラリです。バージョン1.2.1から1.6.55において、`png_set_tRNS`と`png_set_PLTE`はそれぞれ、`png_struct`と`png_info`間のヒープに割り当てられたバッファをエイリアスしており、独立したライフタイムを持つ2つの構造体で単一の割り当てを共有しています。`trans_alpha`のエイリアスは少なくともlibpng 1.0から存在しており、`palette`のエイリアスは少なくとも1.2.1から存在しています。これらはすべての以前のリリースラインに影響を及ぼします。`png_set_tRNS`は`png_ptr-trans_alpha = info_ptr-trans_alpha`（256バイトのバッファ）を設定し、`png_set_PLTE`は`info_ptr-palette = png_ptr-palette`（768バイトのバッファ）を設定します。両方の場合において、`png_free_data`（`PNG_FREE_TRNS`または`PNG_FREE_PLTE`で）を呼び出すと、そのバッファが`info_ptr`を通じて解放される一方で、対応する`png_ptr`のポインタはダングリング状態のまま残ります。その後の行変換関数は解放されたメモリを参照し、いくつかのコードパスでは書き込みも行います。`png_set_tRNS`または`png_set_PLTE`の2回目の呼び出しは同様の影響を及ぼします。なぜなら、両関数は内部で`png_free_data`を呼び出してから`info_ptr`のバッファを再割り当てするためです。バージョン1.6.56でこの問題は修正されました。

PNG Development Group

• libpng 1.2.1 以上 1.6.56 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Use-after-free via pointer aliasing in `png_set_tRNS` and `png_set_PLTE`  Advisory  pnggroup/libpng  GitHub

1. 解放済みメモリの使用(CWE-416) [その他]

1. CVE-2026-33416

1. National Vulnerability Database (NVD) : CVE-2026-33416
2. 関連文書 : fix: Resolve use-after-free on `png_ptr->palette`  pnggroup/libpng@7ea9eea  GitHub
3. 関連文書 : fix: resolve use-after-free on png_ptr->trans_alpha by Oblivionsage  Pull Request #824  pnggroup/libpng  GitHub
4. 関連文書 : fix: Initialize tail bytes in `trans_alpha` buffers  pnggroup/libpng@a3a2144  GitHub
5. 関連文書 : fix: Sync `info_ptr->palette` after in-place transforms  pnggroup/libpng@c1b0318  GitHub
6. 関連文書 : fix: Resolve use-after-free on `png_ptr->trans_alpha`  pnggroup/libpng@2301926  GitHub

• [2026年04月06日]
    掲載