Perl の脆弱性 CVE-2024-56406 が FIX：サービス拒否のおそれとコード実行の可能性

CVE-2024-56406: Heap Overflow Vulnerability in Perl Threatens Denial of Service and Potential Code Execution

2025/04/13 SecurityOnline — システム管理や Web 開発などの、さまざまな用途で広く使用される汎用プログラミング言語 Perl に、セキュリティ上の脆弱性が発見された。このヒープバッファ・オーバーフローの脆弱性 CVE-2024-56406 は、Perl バージョン 5.34／5.36／5.38／5.40 に影響を及ぼす。

この脆弱性は、 “tr” 演算子による非 ASCII バイトの処理に起因する。具体的に言うと、”tr” 演算子の左側に非 ASCI I文字が存在する場合に、S_do_trans_invmap() 関数の処理により、ディスティネーション・ポインタ “d” がオーバーフローする可能性が生じる。この脆弱性を悪用する、巧妙に作成された Perl コマンドにより、セグメンテーション違反やシステム・クラッシュが引き起こされる可能性がある。

perl -e '$_ = "\x{FF}" x 1000000; tr/\xFF/\x{100}/;'

このヒープバッファ・オーバーフローの脆弱性により、サービス拒否 (DoS) 攻撃が生じる可能性があると、セキュリティ研究者たちは考えているようだ。さらに、システムが堅牢な防御策を講じていない場合には、この脆弱性を悪用する攻撃者が、任意のコード実行を達成する恐れもあるという。

上記のリモートコード実行の悪用に関しては、現在では確認されていないが、この脆弱性により攻撃者は、少なくとも Perl ベース・アプリケーションやシステムをクラッシュさせる可能性があるため、サービス拒否攻撃の攻撃経路となる。

特に懸念されるのは以下の環境である。

  • 共有ホスティング環境
  • 信頼できない入力を処理するサーバー・サイド Perl スクリプト
  • メモリ保護モデルが脆弱なレガシー・システム

この脆弱性は Nathan Mills により発見されたものである。

このリスクを軽減するために、ユーザーに対して強く推奨されるのは、速やかに対策を講じることだ。最も効果的な解決策は、Perl のバージョン 5.40.2／5.38.4 へのアップデートにより、この脆弱性に対処するパッチを適用することだ。

この脆弱性は、リモートからの悪用が可能なものであり、CVSS スコアは 8.6 (CISA-ADP) と評価されています。悪用されると、アプリケーションやシステムをクラッシュに至る恐れがあるとのことです。開発者の皆さまは、アップデートを忘れないよう、ご注意ください。よろしければ、カテゴリ _OpenSource も、ご参照ください。