JVNDB-2026-027847

Apache Software FoundationのApache Foryにおける複数の脆弱性

Apache ForyのC++実装におけるヒープ型混乱および境界外読み書きの脆弱性です。互換モードでデータをデシリアライズする際、フィールドスキップパスは宣言されたフィールドタイプと実際のデータを正しく検証しないため、不整合なスキーマを持つ入力が型混乱および境界外メモリアクセスを引き起こす可能性があります。影響を受けるのはC++実装のみであり、Apache Foryの他の言語実装には影響しません。この問題はApache Fory C++のバージョン0.14.0から1.4.0未満のすべてに影響します。ユーザーには、この問題を修正したバージョン1.4.0へアップグレードすることを推奨します。

Apache Software Foundation

• Apache Fory 0.14.0 以上 1.4.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

Apache Software Foundation

• Pony Mail : CVE-2026-64608: Apache Fory: Heap type confusion and out-of-bounds read/write in C++ compatible-mode field-skip paths-Apache Mail Archives

Openwall

• Openwall : oss-security - CVE-2026-64608: Apache Fory: Heap type confusion and out-of-bounds read/write in C++ compatible-mode field-skip paths

1. 信頼できないデータのデシリアライゼーション(CWE-502) [その他]
2. 境界外書き込み(CWE-787) [その他]
3. 型の取り違え(CWE-843) [その他]

1. CVE-2026-64608

1. National Vulnerability Database (NVD) : CVE-2026-64608

• [2026年08月12日]
    掲載