JVNDB-2026-035948

oisfのsuricataにおける複数の脆弱性

Suricataはネットワーク侵入検知システム（IDS）、侵入防止システム（IPS）、およびネットワークセキュリティモニタリングエンジンです。バージョン8.0.0から8.0.6まで、src/app-layer-parser.c内のAppLayerParserSetTransactionInspectId()関数は逆のガードを使用しており、すでに検査済みのトランザクションのみを「検査済み」とマークしていました。パスルールやパス・ザ・フローの例外ポリシーで許可されたフローでは検知がスキップされるため、完了したトランザクションが未マークのままとなり、解放されずに繰り返し再スキャンされる状態となっていました。このフローごとのリストは二次的なクリーンアップコストとともに無制限に増大して、CPUとメモリの枯渇を引き起こしていました。この問題はバージョン8.0.6で修正されました。

oisf

• suricata 8.0.0 以上 8.0.6 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : app-layer: passed flows can retain transactions, causing resource exhaustion  Advisory  OISF/suricata  GitHub

1. 有効期限後のメモリの解放の欠如(CWE-401) [その他]
2. アルゴリズムの複雑性(CWE-407) [その他]

1. CVE-2026-63446

1. National Vulnerability Database (NVD) : CVE-2026-63446
2. 関連文書 : app-layer: fix inverted tx inspected flag check  OISF/suricata@60a83c6  GitHub
3. 関連文書 : next/1407/20260624/v1 by victorjulien  Pull Request #15726  OISF/suricata
4. 関連文書 : Release 8.0.6  OISF/suricata  GitHub
5. 関連文書 : app-layer: fix inverted tx inspected flag check  OISF/suricata@006e21c  GitHub

• [2026年09月29日]
    掲載