C言語向けライブラリ「cJSON」に脆弱性 - 重要度「クリティカル」

C言語向けに公開されているJSON解析ライブラリ「cJSON」の脆弱性が明らかとなった。ソースリポジトリでは修正パッチが公開されており、次期バージョンで解消される見込み。

同ライブラリの一部ユーティリティに含まれる関数の配列インデックス処理において検証の不備が存在し、域外メモリへのアクセスが可能となる脆弱性「CVE-2025-57052」が判明したもの。

「cJSON 1.5.0」以降、「同1.7.18」までのバージョンに影響があり、サービス拒否や情報漏洩のほか、権限の昇格につながるおそれもある。

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「9.8」、重要度を4段階中もっとも高い「クリティカル（Critical）」と評価した。

概念実証が公開されている。最新版は「同1.7.18」となるが、ソースリポジトリ上で修正が実施されており、次期バージョンで修正が反映される見込み。

（Security NEXT - 2025/09/08 ）ツイート