JVNDB-2026-027029

Sparkle ProjectのSparkleにおける複数の脆弱性

SparkleはmacOS向けのソフトウェアアップデートフレームワークです。バージョン2.9.2以前では、`Autoupdate/SUBinaryDeltaApply.m` が `relativePath.pathComponents containsObject:@".."` を強制し、直近の親ディレクトリがシンボリックリンクである場合の書き込みを拒否しますが、相対パス内のより深い場所にあるシンボリックリンクは検出しません。`Autoupdate/SPUSparkleDeltaArchive.m` の `extractItem:` は、アーカイブ内のコンテンツから宛先ツリーにシンボリックリンクを作成します（シンボリックリンクのターゲットに対する `..` チェックはありません）。その後、`Extract` アイテムが `＜symlink＞/foo/bar` をターゲットにすると、カーネルがオープン呼び出し時に中間のシンボリックリンクを解決するため、`fopen(path, "wb")` によって宛先ツリーを抜け出してしまいます。これは多層防御の問題であり、悪意を持って作成された `.delta` ファイルがEdDSA署名検証を通過する（つまりEdDSA秘密鍵が漏洩している）ことが前提となっています。AppInstallerがシステムドメインインストールのためにroot権限で動作しているため、盗まれた署名キーの保持者はdelta適用経路を介してrootレベルで任意のファイル書き込みを行うことが可能になり、通常の「置き換え可能なバンドル」インストールよりも広範な権限を得ることになります。バージョン2.9.2にはこの問題の修正が含まれています。

Sparkle Project

• Sparkle 2.9.2 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Binary delta apply intermediate-symlink traversal in malicious .delta  Advisory  sparkle-project/Sparkle  GitHub

1. パス・トラバーサル(CWE-22) [その他]
2. リンク解釈の問題(CWE-59) [その他]

1. CVE-2026-47121

1. National Vulnerability Database (NVD) : CVE-2026-47121
2. 関連文書 : Merge commit from fork  sparkle-project/Sparkle@fe7b718  GitHub

• [2026年08月06日]
    掲載