Perl XS::libbrotli CVE-2026-115946―OS更新だけでは残る同梱Brotliの脆弱性

CPANSecは日本時間2026年11月1日8時49分、Perl向けXS::libbrotliのCVE-2026-115946を登録しました。1.2.1.0未満に含まれるBrotliのデコーダーに境界外書き込みがあり、修正版は1.2.1.0です。このCVE独自のCVSSスコアは確認したレコードに掲載されていません。

今回の問題は、既報のBrotli脆弱性CVE-2026-111497がPerlの配布物にも含まれるというものです。細工された圧縮データを展開すると、メモリ情報の漏えいやプロセス停止、任意コード実行につながるおそれがあります。XS::libbrotli自体にはPerlから呼ぶインターフェースがなく、実際の入口はこれに依存してデータを展開するモジュールです。

対象版はBrotli 1.0.7または1.1.0を同梱し、ビルド時に静的ライブラリとして組み込みます。そのため、OSのBrotliパッケージを更新しても、既に作られた依存モジュールの内部は置き換わりません。OS側の更新結果だけで対応完了としないことが必要です。

1.2.1.0は同梱Brotliを1.2.1へ更新します。利用者は修正版の導入に加え、それを静的リンクするXSモジュールを再ビルドし、稼働プロセスが新しい成果物を読み込むよう反映してください。外部由来の圧縮データを扱う経路を優先し、更新後に通常の展開処理を確認します。