JVNDB-2026-021013

MessagePackにおける複数の脆弱性

MessagePack for C#はC#向けのMessagePackシリアライザです。バージョン2.5.301および3.1.7より前のバージョンでは、MessagePackReader.ReadDateTime()が攻撃者が操作可能なMessagePack拡張の長さに基づいてスタックメモリを割り当てることがありました。タイムスタンプ拡張の解析におけるスローパス処理では、計算されたtokenSizeにワイヤ上の拡張ボディの長さが含まれており、有効なタイムスタンプサイズの1つとして拡張長が検証される前に、stackalloc操作で使用されます。非常に小さなペイロードが大きなタイムスタンプ拡張ボディを主張し、キャッチ不可能なStackOverflowExceptionを引き起こすほどの大きなスタック割り当てが発生し、それによりホストプロセスが終了する可能性があります。この脆弱性はバージョン2.5.301および3.1.7で修正されています。

MessagePack

• MessagePack 2.5.301 未満
• MessagePack 3.0.3 以上 3.1.7 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Attacker-controlled DateTime extension length causes stack overflow  Advisory  MessagePack-CSharp/MessagePack-CSharp  GitHub

1. リソースの安全ではないデフォルト値への初期化(CWE-1188) [その他]
2. 境界外読み取り(CWE-125) [その他]
3. 整数オーバーフローまたはラップアラウンド(CWE-190) [その他]
4. アルゴリズムの複雑性(CWE-407) [その他]
5. 高圧縮データの不適切な処理 (データ増幅)(CWE-409) [その他]
6. クラスまたはコードを選択する外部から制御された入力の使用(CWE-470) [その他]
7. 信頼できないデータのデシリアライゼーション(CWE-502) [その他]
8. 不適切な再帰制御(CWE-674) [その他]
9. 過剰なサイズ値のメモリ割り当て(CWE-789) [その他]

1. CVE-2026-48502

1. National Vulnerability Database (NVD) : CVE-2026-48502

• [2026年06月26日]
    掲載