正規表現（regex）ライブラリにバッファオーバーフローの脆弱性（JVN）

IPAおよびJPCERT/CCは、Henry Spencerが作成した正規表現（regex）ライブラリにヒープベースのバッファオーバーフローの脆弱性が存在すると「JVN」で発表した。

脆弱性と脅威セキュリティホール・脆弱性

2015.2.18 Wed 8:00

独立行政法人情報処理推進機構（IPA）および一般社団法人 JPCERT コーディネーションセンター（JPCERT/CC）は2月16日、Henry Spencerが作成した正規表現（regex）ライブラリにヒープベースのバッファオーバーフローの脆弱性が存在すると「Japan Vulnerability Notes（JVN）」で発表した。CVSSによる最大Base Scoreは4.3。

発見者によると、同ライブラリを32bit版のOSで使用している場合、正規表現文字列の長さを指定する変数 len の値を使った乗算と加算の結果、整数オーバーフローが発生する可能性があり、これによりメモリ上のデータを改ざんされる可能性があるという。JVNでは、影響は製品により異なるが最悪の場合は任意のコードを実行される可能性があるとしている。また、開発者が提供する情報などを参考に、対策方法を検討するよう呼びかけている。

《吉澤亨史（ Kouji Yoshizawa ）》