【セキュリティ日報】CVSS10.0のxz-utilsバックドアほかCVE200件を更新

項目	優先度	対応	影響対象	クイックアクション
xz-utils（liblzma）バックドア CVE-2024-3094	high	対応必須	xz/liblzma利用者	xz/liblzmaのバージョンを確認し、未修正の5.6.0〜5.6.1系が残っていないか棚卸し
X.Org Server ヒープオーバーフロー CVE-2023-6816	high	対応必須	X.Org Server利用者	ディストリビューションのセキュリティ更新を適用
rsyncデーモンのヒープオーバーフロー CVE-2024-12084	high	対応必須	rsyncデーモン運用者	ディストリビューションのセキュリティ更新を適用
OpenSSL RSA指数3の署名検証不備 CVE-2006-4339	high	対応必須	独自RSA実装でOpenSSLを使用している利用者	標準のOpenSSL実装を使用していれば対応不要
PostgreSQL 配列操作の整数オーバーフロー CVE-2023-5869	high	推奨	PostgreSQL利用者	ディストリビューションのセキュリティ更新を適用
PCP pmproxy経由のRedisバックエンド露出 CVE-2024-3019	high	推奨	PCP pmproxyを手動起動している利用者	pmproxyの公開設定を確認し、不要なら停止
Emacsのコマンドインジェクション CVE-2025-1244	high	推奨	Emacs利用者	最新版へ更新し、不審なURLを開かない
Next.js ミドルウェア/プロキシ回避（Turbopack） CVE-2026-45109	high	推奨	Next.js (Turbopack/App Router) 利用者	nextを15.5.18または16.2.6以降へ更新

本日はNVDで200件のCVEが更新され、うちCriticalが4件、Highが86件でした。最も深刻なのはCVSS10.0の xz-utils バックドア(CVE-2024-3094)で、X.Org・rsyncにもCritical級の欠陥が含まれています。あわせて、本サイトの監視対象パッケージではNext.jsのミドルウェア回避脆弱性が検出されました。

本日の概要

指標	数値
NVD 更新CVE	200件
└ Critical (9.0+)	4件
└ High (7.0-8.9)	86件
└ Medium (4.0-6.9)	108件
└ Low以下	2件
OSV 検出件数	3件（監視対象16パッケージ中）
GHSA 更新アドバイザリ	627件
影響エコシステム	npm, PyPI, Maven, Go

NVDの「更新CVE」は過去24時間にスコア再評価等で更新があったCVEで、必ずしも本日新規公開されたものではありません。古いCVEの再分析が多数含まれる点にご留意ください。

Critical/High 脆弱性の詳細解説

CVE-2024-3094：xz-utils（liblzma）バックドア

CVSS: 10.0（Critical）
対象: xz / liblzma 5.6.0〜5.6.1 を含むディストリビューション
2024年に発覚した、ビルドプロセスに悪意あるコードを混入させるサプライチェーン攻撃です。当時すでに大半のディストリビューションで修正済みですが、本日NVDのメタデータが再評価され、スコアが改めてCriticalとして確定しました。古いパッケージが残っていないか再確認を推奨します。
参考: NVD

CVE-2023-6816：X.Org Server ヒープオーバーフロー

CVSS: 9.8（Critical）
対象: X.Org Server
DeviceFocusEvent と XIQueryPointer の応答処理で、デバイスのボタン数に対して確保するメモリ量が不足し、大きな値を指定するとヒープオーバーフローが発生します。
対策: ディストリビューションのセキュリティ更新（RHSA等）を適用してください。

CVE-2024-12084：rsyncデーモンのヒープオーバーフロー

CVSS: 9.8（Critical）
対象: rsyncデーモン
チェックサム長（s2length）の検証不足により、攻撃者が制御可能な長さを指定した場合にバッファ境界外への書き込みが発生します。rsyncデーモンを外部公開している場合は影響範囲が広くなります。
対策: ディストリビューションのセキュリティ更新を適用してください。

CVE-2006-4339：OpenSSL RSA指数3の署名検証不備

CVSS: 9.1（Critical）
対象: 指数3のRSA鍵を使う一部実装
PKCS#1のパディング除去処理の不備により、署名の偽造が可能になる古典的な脆弱性です。現在広く使われているOpenSSLの標準実装では既に修正済みで、特殊な自前実装を使っていない限り影響はありません。

CVE-2023-5869：PostgreSQL 配列操作の整数オーバーフロー

CVSS: 8.8（High）
対象: PostgreSQL
認証済みユーザーが配列値を操作する際の整数オーバーフロー検査漏れにより、任意コード実行につながる可能性があります。認証済みユーザーのみが対象のため、DBアクセス権限の管理が重要です。

CVE-2024-3019：PCP pmproxy経由のRedisバックエンド露出

CVSS: 8.8（High）
対象: PCP（Performance Co-Pilot）
pmproxyのデフォルト設定でRedisバックエンドがローカルネットワークに露出し、Redisユーザー権限でのコマンド実行が可能になります。pmproxyを手動起動していない場合は対象外です。

CVE-2025-1244：Emacsのコマンドインジェクション

CVSS: 8.8（High）
対象: Emacs
悪意あるWebサイトやリダイレクトを含むURLを開かせることで、任意のシェルコマンドが実行される可能性があります。不審なURLを安易に開かないよう注意してください。

CVE-2026-45109：Next.js ミドルウェア/プロキシ回避（Turbopack）

CVSS: 約7.5相当（High、AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N）
対象: next 15.5.18未満 / 16.2.6未満（Turbopack使用時）
以前の修正（CVE-2026-44575）がTurbopackの middleware.ts には適用されていなかったことによる回避です。App Routerのセグメントプリフェッチ経路を使うと、ミドルウェアでのアクセス制御をすり抜けられる可能性があります。本サイトのフロントもNext.jsを利用しているため、優先的に確認すべき項目です。
対策: next を 15.5.18 または 16.2.6 以降へアップデートしてください。
参考: GHSA-26hh-7cqf-hhc6

エコシステム別サマリー

OSVでは監視対象16パッケージ中3件を検出しました。

npm: Next.js（上記、High相当）／ Nuxt（CVE-2026-119200、./..セグメントのデコード順序差によりサーバーミドルウェアのパスチェックを回避可能。Medium相当。nuxt 4.6.3未満が対象、4.6.3へ更新を推奨）
PyPI: Django（CVE-2025-26699、長い文字列をwordwrapフィルタに渡すとDoSにつながる。Moderate相当。4.2.20 / 5.0.13 / 5.1.7未満が対象）

GHSAでは627件のアドバイザリ更新がありましたが、多くは詳細情報が未公開のプレースホルダでした。実利用に関わる更新としては、JavaエコシステムでUndertow（HTTPリクエスト／レスポンス密輸、複数CVE）とApicurio Registry（XML処理のDoS/SSRF）、GoエコシステスでKubeVirtとTraefik（BasicAuthのタイミングオラクル）に実際のパッケージ・修正バージョン情報が伴うアドバイザリが確認できました。該当製品の利用者は各プロジェクトのリリースノートをご確認ください。

JVN日本語情報

本日はMyJVNのデータファイルがなく、日本語版の個別情報はありません。

まとめ

本日はNVD側でCVSS10.0のxz-utilsバックドアを含むCritical 4件が再評価されましたが、いずれも既知の古いCVEの再分析であり、最新のディストリビューションを使っていれば大きな影響はありません。一方、Next.jsのミドルウェア回避脆弱性（CVE-2026-45109）はTurbopackを使うApp Router構成に実際に影響するため、本サイトのような Next.js 利用者は優先的にバージョン確認をおすすめします。rsyncデーモンやX.Orgのような古典的なCritical脆弱性についても、未更新の環境が残っていないか棚卸しの機会として活用してください。

データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。