CVE-2026-31792

概要

iccDEV は International Color Consortium が 開発 する ICC カラー マネジメント プロファイル ライブラリ です。ICC プロファイル の XML 表現 を パース する 機能 を 備えて おり、XML 形式 で 記述 された カラー プロファイル データ を 内部 の オブジェクト 構造 に 変換 する 処理 を 提供 して います。

CVE-2026-31792 は この ライブラリ の CIccTagXmlStruct::ParseTag() 関数 に 存在 する NULL ポインタ 参照 脆弱性 です。CWE-476 に 分類 される この 問題 は、XML タグ の パース 処理 中 に 発生 します。

ParseTag() 関数 は ICC プロファイル の XML 構造 タグ を 解析 し、子 要素 を 再帰的 に パース して 構造体 オブジェクト を 構築 します。この 処理 の 中 で、特定 の 条件 下 に おいて 内部 ポインタ が NULL の まま デリファレンス されて しまう 問題 が あります。具体的 に は、XML データ の 構造 が 不正 な 場合 や 必要 な 子 要素 が 欠落 して いる 場合 に、NULL チェック が 適切 に 行われ ません。

この 脆弱性 が 発動 する と、セグメンテーション フォールト が 発生 し、アプリケーション が 即座 に クラッシュ します。サービス 拒否（DoS）状態 を 引き起こす こと が 可能 で あり、特に サーバー サイド で ICC プロファイル の XML パース を 行って いる システム で は、可用性 へ の 影響 が 大きく なります。

ローカル 環境 に おいて、攻撃者 が 細工 された XML 形式 の ICC プロファイル データ を ユーザー に 処理 させる こと で この 脆弱性 を 悪用 でき ます。CVSS スコア 7.8 の High 深刻度 と 評価 されて おり、機密性、完全性、可用性 の 全て に 高い 影響 が あります。

XML パース 機能 を 使用 して いる 環境 で は、入力 データ の 事前 検証 と 併せて、速やか な バージョン アップデート を 推奨 します。

CVSS ベクトル

影響 を 受ける ソフトウェア

修正 バージョン と 回避策

• iccDEV v2.3.1.5 以降 に アップグレード して ください
• 回避策: 信頼 できない ソース から の ICC プロファイル の XML データ を パース しない よう に する こと で、リスク を 軽減 でき ます
• XML 入力 の スキーマ 検証 を 事前 に 行い、不正 な 構造 の データ を 拒否 する こと も 有効 な 対策 です

関連リンク

• NVD
• GitHub Issue #633
• GitHub Security Advisory GHSA-j3mh-rjg5-8gw7

データソース: NVD (NIST), GitHub Advisory Database AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。