ImageMagick Vulnerabilities Cause Memory Corruption and Integer Overflows
2025/08/15 gbhackers — AI を活用する Google のセキュリティ調査ツールである、Big Sleep が発見した４件の深刻な脆弱性は、人気の OSS 画像操作ソフトウェア ImageMagick に存在するものだ。これらの脆弱性が影響を及ぼす範囲は、画像処理に ImageMagick を利用する世界中の数百万のアプリケーションであり、同社による責任ある情報開示手順に従い、最新のソフトウェア・リリースで修正されている。
サイバー・セキュリティにおける AI の飛躍的進歩
Google の Big Sleep は、DeepMind／Project Zero チームにより共同開発されたものであり、自動化された脆弱性の検出における画期的な進展を示している。この AI エージェントは、人間の介入なしに ImageMagick の４件の脆弱性を特定／再現したが、公開前には専門家による最終レビューが行われたという。
2025年7月には、脅威アクターのみが知っていた SQLite の脆弱性を、Big Sleep が発見して悪用を阻止したが、今回の成果は、その実績に続くものである。
これらの脆弱性 CVE-2025-55154／CVE-2025-55004／CVE-2025-55005／CVE-2025-55160 の CVSS スコアは 5.5～8.8 であり、最も深刻なものは High と評価されている。
AI により発見された、これらの脆弱性は Big Sleep 識別システムで追跡され、セキュリティ研究者である urban-warrior が、GitHub セキュリティ・アドバイザリを通じて公開した。これらの脆弱性には、BIGSLEEP 識別子が付与されており、Google の AI を活用した研究プログラムにより発見されたことが示されている。
技術的影響とリスク
ReadOneMNGImage 関数内の、MNG (Multiple-image Network Graphics) 倍率計算における整数オーバーフローに関するものだ。
特別に細工された MNG ファイルを処理する際に、安全が確保されない演算により整数境界を超えるという問題が引き起こされ、ヒープバッファ・オーバーフローや任意コード実行に至る可能性がある。特に magnified_width 値の計算に影響し、乗算／加算でオーバーフローが発生し、必要とされるバッファ容量と比較して、小さなバッファが割り当てられる恐れがある。
アルファチャンネルを持つ画像を拡大する際に、ヒープバッファ・オーバーフロー・リードの脆弱性を引き起こす。
この脆弱性により、機密性の高いメモリ内容が、出力画像に漏洩する可能性があり、ユーザーが指定する画像に応じて、このアプリケーションにリスクが生じる。原因は alpha_trait が処理中に更新され、割り当てバッファ・サイズと実際のチャネル要件が不一致になる点にある。
ログ・カラー・スペース変換処理に影響し、参照黒値および参照白値の処理中の境界チェックが不十分なケースにおいて、ヒープバッファ・オーバーフローが引き起こされるという。
CloneSplayTree 操作で未定義の動作を引き起こし、サニタイザーが有効となっているビルドでは、確定的なクラッシュを招くという。ただし、標準的な導入におけるセキュリティ・リスクは最小限である。
緊急のシステム保護が必要
ImageMagick ユーザーにとって必要なことは、パッチ適用済みバージョンへの速やかなアップグレードにより、これらの脆弱性を修正することだ。7.x ブランチではバージョン 7.1.2-1 において、6.x ブランチではバージョン 6.9.13-27 において、これらの４件の脆弱性が修正されている。
Web アプリケーション／コンテンツ管理システム／自動画像処理ワークフローなどで、ImageMagick を使用しているユーザー組織は、ネットワーク経由で送信される悪意の画像により、これらの脆弱性が誘発される可能性があるため、特に注意が必要である。
セキュリティ専門家が推奨するのは、画像ファイルの厳格な入力検証／画像サイズ制限の厳格なセキュリティ・ポリシー適用／画像処理操作の異常監視などの、追加の保護対策の実施である。
これらの脆弱性の発見が浮き彫りにするのは、ImageMagick が 200 種類以上の画像フォーマットをサポートし、これまでにおいても、数多くのメモリ安全性の問題を経験してきた、複雑なセキュリティ環境を持つことである。
Big Sleep による画期的な発見は、サイバー・セキュリティにおける AI の変革の可能性を示すものである。現時点において Big Sleep は、Google のエコシステム／OSS プロジェクトを積極的に保護している。
Google の VP of Engineering である Royal Hansen は、「これらの発見が示すのは、自動化された脆弱性発見のフロンティアである。AI を活用するセキュリティ・ツールは、現実世界での攻撃への悪用に先行して脆弱性を特定し防止する上で、ますます重要な役割を果たす」と述べている。
Big Sleep の活躍が印象的です。人間が気づきにくい ImageMagick の脆弱性を、自動的に見つけ出してくれました。発見された問題の多くは、整数オーバーフローやバッファ処理の不備といった、プログラムがメモリを正しく扱えないことに起因するものです。こうした細かな欠陥を、Big Sleep が検出できることが、セキュリティの現場で AI が大きな力を発揮する未来を示していると感じます。よろしければ、2025/07/16 の「Google の AI セキュリティ Big Sleep の快挙：SQLite のゼロデイ CVE-2025-6965 を自律的に検知／特定」も、ご参照ください。
IoT OT Security News 
You must be logged in to post a comment.