「GNU Libmicrohttpd」に複数脆弱性 - 実験的コンポーネントに起因

GNU ProjectのHTTPサーバライブラリ「GNU Libmicrohttpd」の実験的なモジュールに複数の脆弱性が判明した。問題が判明したモジュールの利用中止が呼びかけられている。

脆弱性情報のポータルサイトであるJVNによれば、「Libmicrohttpd v1.0.2」および以前のバージョンにおいて、特定のオプションを有効化してビルドした場合に読み込まれるモジュール「libmicrohttpd_ws.so」に複数の脆弱性が明らかとなったもの。

具体的には、NULLポインタを参照する脆弱性「CVE-2025-59777」や、ヒープベースのバッファオーバーフローを引き起こす脆弱性「CVE-2025-62689」が確認された。

認証を必要とすることなく、細工したパケットでリモートよりサービス拒否を生じさせることが可能。共通脆弱性評価システム「CVSSv4.0」のベーススコアは「8.7」、「CVSSv3.1」においては「7.5」と評価されている。

同脆弱性は、三井物産セキュアディレクションの安松達彦氏が情報処理推進機構（IPA）へ報告し、JPCERTコーディネーションセンターが調整を行った。

ソースリポジトリでは問題のソースコードが削除されており、今回問題が判明したモジュール「libmicrohttpd_ws.so」の利用については中止するよう呼びかけられている。

（Security NEXT - 2025/11/11 ）ツイート