JVNDB-2026-021009

MessagePackにおけるアルゴリズムの複雑さに関する脆弱性

MessagePack for C# は C# 用の MessagePack シリアライザです。バージョン 2.5.301 および 3.1.7 より前では、ExpandoObjectFormatter.Deserialize は各マップエントリに対して IDictionarystring, object.Add を呼び出して System.Dynamic.ExpandoObject を構築します。ExpandoObject は内部的にメンバー名を配列のような構造で管理しているため、多数の異なるキーを挿入すると繰り返しの線形スキャンと配列のコピーが必要になる場合があります。攻撃者が制御する大規模なマップでは、これにより CPU 使用率と割り当てが二次的に増加する挙動が発生します。この問題は、ExpandoObjectResolver.Options が MessagePackSecurity.UntrustedData に設定されているにもかかわらず、衝突耐性のある辞書の比較器が ExpandoObject の挿入処理を保護できないため、特に驚くべきものです。この脆弱性はバージョン 2.5.301 および 3.1.7 で修正されています。

MessagePack

• MessagePack 2.5.301 未満
• MessagePack 3.0.3 以上 3.1.7 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : ExpandoObject formatter can perform quadratic insertion work on untrusted maps  Advisory  MessagePack-CSharp/MessagePack-CSharp  GitHub

1. アルゴリズムの複雑性(CWE-407) [その他]

1. CVE-2026-48511

1. National Vulnerability Database (NVD) : CVE-2026-48511

• [2026年06月26日]
    掲載