Qt Framework の脆弱性 CVE-2024-33861 が FIX：影響は限定的だが油断は禁物

CVE-2024-33861: Patch Released for Qt Vulnerability Affecting Applications

2024/05/09 SecurityOnline — Qt Group がリリースしたのは、QStringConverter コンポーネントで発見された脆弱性 CVE-2024-33861 に対応する、セキュリティ勧告とパッチである。Qt Framework 自体には、リモート攻撃に対する直接の脆弱性は存在しないが、この脆弱性が、QStringDecoder を用いるアプリケーションで悪用される可能性が生じる。

この脆弱性の核心は、Qt アプリケーション内のテキスト・デコード処理で使用される、QStringConverter コンポーネントのコールバックとして、不正なポインタが渡される点にある。Qt 自体は、リモート攻撃に対して耐性を持っているが、QStringDecoder を直接的／間接的に利用するアプリケーションが、危険にさらされる可能性が生じる。この脆弱性の影響を受けるバージョンは、Qt 6.5.0～6.5.5／6.6.x／6.7.0 である。

ただし、この脆弱性を悪用する攻撃者は、いくつかの前提条件を満たす必要がある：

• Codec の操作：おそらく侵害されている、特定のコーデックを使用するよう、アプリケーションを仕向ける必要がある。
• データ供給： スタック変更のトリガーとなるように細工された、悪意のデータを提供する必要がある。
• アプリケーション・ビルドに関する知識： すべてのビルドが同じように脆弱なわけではないので、標的とするアプリケーションのビルドに関する知識が不可欠となる。
• モディファイの影響： モディファイの仕方に応じて、スタック内の特定の条件が変更された、アプリケーション・クラッシュといった無害なも のから、より深刻な結果をもたらすものまで、発生する影響の幅は広い。

Qt が自動的に、脆弱なコーデックを使用するわけではないことに注意してほしい。この脆弱性は、QStringDecoder を特定の方法で統合したアプリケーションにのみ現れる。そのため、全体的な影響は限定的だが、Qt コンポーネントの使用方法を慎重に見直す必要がある。

脆弱性 CVE-2024-33861 の発見を受けた Qt Group は、影響を受けるバージョンを使用している開発者に対して、早急な対応を推奨している：

パッチの適用：影響を受ける Qt のバージョンに対して、特定の問題に対処するためのパッチが提供されている。このパッチを適用することは、アプリケーションのセキュリティ維持のために極めて重要である。

バージョンの更新：Qt の最新バージョン 6.5.6／6.7.1 への更新が推奨される。これらのバージョンには、今回の脆弱性などの、潜在的な問題に対処するための修正が含まれている。

Qt Framework 自体にではありませんが、QStringConverter コンポーネントで脆弱性 CVE-2024-33861 が発見されたとのことです。ご利用のチームは、ご確認ください。なお、Wikipedia には、「Qt Framework はクロス・プラットフォームのアプリケーション開発フレームワークであり、Linux／Windows／ macOS／Android に加えて、GUI／Embedded などのシステムに対して、基盤となるコードベースに殆ど変更を加えずに、ネイティブの機能と速度を備えたネイティブ・アプリケーションを提供するもの」と記されています。ちなみに、Qt と書いて、”cute” と読むらしいです。なかなか、お洒落ですね。よろしければ、Framework で検索も、ご利用ください。