30秒で判断
- 対応すべき人: Tencentが開発するC++向けJSONライブラリ「RapidJSON」バージョン1.1.0を組み込んでいるアプリケーションの開発者
- 対応不要な人: RapidJSONを利用していない人
- 確認コマンド: 依存関係に
rapidjsonが含まれるか確認し、バージョンが1.1.0かどうかを確認
概要
C++向けの軽量JSONライブラリ「RapidJSON」に、範囲外読み取り（out-of-bounds read）の脆弱性が見つかりました。include/rapidjson/internal/diyfp.h 内の GetCachedPowerByIndex 関数において、decimalPosition 引数の処理に問題があり、確保されたメモリ範囲外のデータを読み取ってしまう可能性があります。リモートからの攻撃が可能とされ、この脆弱性を実証するPoCが公開されています。RapidJSONは多くのC++プロジェクトに組み込まれて使われているライブラリであるため、依存関係の確認が重要です。プロジェクト側にはIssueで早期に報告されていますが、現時点では対応の返答がないとされています。
CVSSベクトル
| 項目 | 値 |
|---|---|
| CVSSスコア | 7.3 (High) |
| CVSSバージョン | 3.1 |
| CWE | CWE-119（Improper Restriction of Operations within Memory Buffer）, CWE-125（Out-of-bounds Read） |
影響を受けるソフトウェア
| 製品 | ベンダー | 影響バージョン |
|---|---|---|
| RapidJSON | Tencent | 1.1.0 |
修正バージョンと回避策
現時点で公式の修正バージョン情報は確認できていません。回避策として、信頼できない入力データのJSONパース処理には注意を払い、可能であれば入力サイズや形式の事前検証を行うことを推奨します。GitHubのIssueで最新の修正状況を継続的に確認してください。
関連リンク
データソース: NVD (NIST) AI解説はClaude APIにより自動生成されています。正確性については原文をご確認ください。