imagecodecs CVE-2026-120252はMedium―ロスレスJPEG処理でスタック破壊

画像コーデック集imagecodecsのCVE-2026-120252が、日本時間2026年11月1日9時57分に登録されました。VulnCheckのCVSS v4.0評価は6.8、Medium（中）です。対象は2023.1.23〜2026.10.10で、元の技術報告は10月10日に公開されています。

問題はjpegsof3_decode()がロスレスJPEGのハフマン表を読み取る処理にあります。記号の個数を8ビット整数で合計するため、大きい合計が小さい値に折り返され、長さの検証を通過します。その後の書き込みは本来の個数で進むため、スタック上の固定長配列の外まで書き込み、呼び出し元のプロセスが停止します。

報告者は細工された画像によるクラッシュを示す一方、コード実行ではないと明記しています。画像の内容を解析する経路が対象で、imagecodecsをインストールしているだけで攻撃が成立するわけではありません。外部から受け取ったロスレスJPEGを処理する用途では、該当デコーダーの使用を確認します。

開発者は10月12日、次のリリースで修正すると回答し、Issueを完了扱いにしています。ただし、確認したCVEとIssueには修正版の番号が明記されていません。Issueが閉じていることだけで導入済みパッケージを安全とせず、配布元の変更履歴で修正反映を照合してください。