「Apache bRPC」に深刻な脆弱性 - 悪意あるJSONでDoSのおそれ

「RPC（Remote Procedure Call）」のフレームワークである「Apache bRPC」に深刻な脆弱性が明らかとなった。アップデートで修正が実施された。

開発チームは現地時間2025年12月1日、メーリングリストを通じてサービス拒否の脆弱性「CVE-2025-59789」について明らかにしたもの。

「CVE-2025-59789」は、深い再帰構造を持つ細工したJSON形式のデータを送りつけることで、スタック領域におけるオーバーフローによってサービス拒否が生じる脆弱性。開発チームでは重要度を4段階中もっとも高い「クリティカル（Critical）」とレーティングしている。

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「7.5」と評価しており、重要度を「高（High）」とした。

開発チームでは「同1.15.0」にて脆弱性を修正。デフォルトにおいて対応する再帰構造に制限を設け、超過した場合は処理が失敗する仕様へと変更している。

（Security NEXT - 2025/12/05 ）ツイート