30秒で判断
- 対応すべき人: Suricata 8.x をIDS/IPSとして運用し、
http.response_headerを用いるルール（transform あり/なし混在）を使用している - 対応不要な人: Suricata を利用していない、8.0.7 以降を使用している
- 確認コマンド:
suricata -Vでバージョンを確認
概要
Suricata はオープンソースのネットワーク侵入検知/防御（IDS/IPS）エンジンです。本脆弱性は、トランザクションが http.response_header をtransform（変換）あり・なしの両方で参照するルールによって検査される際に発生するHttp2ThreadMultiBufの解放後使用（use-after-free）です。
すでに解放されたメモリ領域が参照されることで、エンジンの異常終了などにつながる可能性があります。監視対象トラフィックを処理するエンジン本体で発生するため、IDS/IPSの監視停止といった可用性への影響が懸念されます。前述のCVE-2026-94083（DoH2型混同）と同じ 8.0.7 で修正されています。
CVSSベクトル
| 項目 | 値 |
|---|---|
| CVSSスコア | 9.4（CRITICAL） |
| CWE | CWE-416（解放後使用） |
| 攻撃の起点 | 監視対象のHTTP/2レスポンス（該当ルール適用時） |
影響を受けるソフトウェア
| 製品 | ベンダー | バージョン |
|---|---|---|
| Suricata | OISF | 8.0.7 より前（8.x） |
修正バージョンと回避策
Suricata 8.0.7 以降へアップデートしてください。即時アップデートが難しい場合は、http.response_header を用いるルールの見直し（transform あり/なしの混在解消）を緩和策として検討できますが、根本対応はアップデートです。
関連リンク
データソース: NVD (NIST) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。