JVNDB-2026-019554

Espressif SystemsのESP-IDFにおける複数の脆弱性

ESF-IDFはEspressifのInternet of Things（IoT）開発フレームワークです。バージョン5.5.4および6.0において、esp_teeコンポーネントはesp_secure_services.cおよびesp_secure_services_iram.c内でセキュアサービスラッパーを公開しています。これはユーザーアプリケーション（すなわちREE）からTEEで保護されたハードウェア周辺機器（AES、SHA、ECC、HMAC、SPI、MMU、WDT）および証明、OTAアップデート、セキュアストレージといったセキュリティ機能への呼び出しを橋渡ししています。この問題はバージョン5.5.5および6.0.1で修正されました。

Espressif Systems

• ESP-IDF 5.5.4
• ESP-IDF 6.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Out-of-Bounds Write in ESP-TEE Secure Service Wrappers  Advisory  espressif/esp-idf  GitHub

1. 不適切な入力確認(CWE-20) [その他]
2. 境界外書き込み(CWE-787) [その他]
3. 境界外書き込み(CWE-787) [NVD評価]

1. CVE-2026-45328

1. National Vulnerability Database (NVD) : CVE-2026-45328
2. 関連文書 : change(esp_tee): Move the internal memory secure service call table t…  espressif/esp-idf@440a5d1  GitHub
3. 関連文書 : change(esp_tee): Move the internal memory secure service call table t…  espressif/esp-idf@afd14ab  GitHub
4. 関連文書 : change(esp_tee): Move the internal memory secure service call table t…  espressif/esp-idf@764626a  GitHub
5. 関連文書 : fix(esp_tee): Add missing input validation checks for TEE service calls  espressif/esp-idf@7867f4a  GitHub
6. 関連文書 : fix(esp_tee): Add missing input validation checks for TEE service calls  espressif/esp-idf@145ba4c  GitHub
7. 関連文書 : fix(esp_tee): Add missing input validation checks for TEE service calls  espressif/esp-idf@eebabaf  GitHub

• [2026年06月12日]
    掲載