GNU mtools CVE-2026-118384を修正―Medium、4.0.50へ更新

GNU mtools 4.0.50が2026年10月30日23時31分CET（日本時間31日）に発表され、CVE-2026-118384が修正されました。CVE ProgramのMITREによる評価はCVSS v3.1で6.1、Mediumです。4.0.50未満が影響を受けます。

mtoolsは、FAT形式のディスクやイメージをマウントせずに読み書きするツール群です。問題はvfat.cのparse_vses()にある境界外書き込みで、CVEレコードにはmdirとmcopyが影響する処理として挙げられています。VFATの長いファイル名を扱う経路の確認が必要です。

対策は4.0.50、または利用するOSが提供する修正適用済みパッケージへの更新です。ディスクイメージの検査や配布物の生成に組み込んでいる場合は、対話操作で使う端末だけでなく、実際に処理を実行する環境のバージョンも確認してください。

今回の評価はローカルでの処理とユーザー操作を条件としており、ネットワーク越しの無認証攻撃が成立すると断定するものではありません。未知のイメージを取り込む運用では更新まで入力を制限し、更新後に通常の一覧表示とコピー処理を確認することが実務上の対応になります。