CVE-2026-30985

概要

iccDEV は International Color Consortium が 開発 する ICC カラー マネジメント プロファイル ライブラリ です。カラー スペース 間 の 数学的 な 変換 処理 を 提供 する 行列 演算 モジュール を 含んで おり、精密 な 色 変換 の ため の 基盤 機能 を 担って います。

CVE-2026-30985 は この ライブラリ の CIccMatrixMath::SetRange() 関数 に 存在 する ヒープ バッファ オーバーフロー 書き込み 脆弱性 です。CWE-122 に 分類 される この 問題 は、行列 演算 における 範囲 設定 の 処理 で 発生 します。

SetRange() 関数 は カラー 変換 行列 の 入力 値 や 出力 値 の 範囲 を 設定 する ため に 使用 されます が、設定 される 範囲 パラメータ の 検証 が 不十分 です。ヒープ 上 に 確保 された バッファ の 境界 を 超えて 書き込み が 行われる ため、隣接 する ヒープ メタデータ や オブジェクト が 破壊 される 可能性 が あります。

この 脆弱性 は ローカル 環境 に おいて、攻撃者 が 細工 された ICC プロファイル ファイル を ユーザー に 処理 させる こと で 発動 します。ヒープ メモリ の 破壊 に より、アプリケーション の クラッシュ が 発生 し、可用性 が 損なわれ ます。さらに、ヒープ の レイアウト を 精密 に 制御 する こと で、機密 データ の 漏洩 や 任意 コード 実行 の リスク も 理論的 に 存在 します。

CVSS スコア 7.8 の High 深刻度 と 評価 されて おり、機密性、完全性、可用性 の 全て に 高い 影響 が あります。iccDEV の 行列 演算 機能 を 利用 する アプリケーション で は、速やか に 修正 バージョン へ の アップデート を 実施 して ください。

CVSS ベクトル

影響 を 受ける ソフトウェア

修正 バージョン と 回避策

• iccDEV v2.3.1.5 以降 に アップグレード して ください
• 回避策: 信頼 できない ソース から の ICC プロファイル ファイル を 処理 しない よう に する こと で、リスク を 軽減 でき ます
• 行列 演算 の 入力 パラメータ に 対する 境界 チェック を アプリケーション 側 で 追加 する こと も 有効 です

関連リンク

• NVD
• GitHub Issue #621
• GitHub Security Advisory GHSA-f9wv-cq46-f9wg

データソース: NVD (NIST), GitHub Advisory Database AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。