Expat 2.8.2 リリース、13件の脆弱性を修正
XMLパーサーライブラリExpatの最新バージョン2.8.2がリリースされ、13件の脆弱性が修正された。このアップデートには、複数のメモリ破損やバッファオーバーフローの問題に対するパッチが含まれており、影響を受けるシステムでは速やかなアップグレードが推奨される。
背景メモ
- ExpatはC言語で書かれたXMLパーサー(XMLを読み解くライブラリ)。非常に広く使われており、Webブラウザやサーバー、プログラミング言語のランタイムなど、多くのソフトウェアの内部部品として組み込まれている。
- 2.8.2では13件の脆弱性が修正された。多くは「メモリ破壊」や「バッファオーバーフロー」といった低レベルのバグで、細工されたXMLデータを送り込まれると、プログラムが異常終了したり、悪意あるコードの実行につながる可能性がある。
- このライブラリは長らくメンテナが不在だった時期があり、2021年から新たなメンテナが引き継いで改善を続けている。今回の修正は、外部のセキュリティ研究者(Mozillaなど)が報告した問題や、コード監査ツールで発見された問題に対応したもの。
- 「ライブラリのアップデート」自体はエンドユーザーが直接行うものではなく、各OSやディストリビューション、アプリケーションが取り込んで提供する。そのため、影響は広範だが一般には見えにくい。