FastNetMon 1.2.9 以前の CVE-2026-92693・92694・92695・92697・92698・93424: sFlow・NetFlow・pcap の受信処理の欠陥で、認証なしに細工したパケットを送られるとプロセスが落ちる恐れ（修正版なし）

DDoS の検知ソフト FastNetMon（ルーターなどから送られる sFlow・NetFlow・IPFIX や、ミラーしたパケットを集めて攻撃を見つけるツール）で、6 件の CVE が 2026-11-05（日本時間 11-06 朝）に NVD に登録されました。登録元は GitHub で、NVD の状態は Deferred（後回し）です。影響するのは 1.2.9 以前で、NVD の記述には「確認した時点で修正版はない」と書かれています。

6 件の中身

いずれも、受け取ったデータの長さや寿命の確認が足りず、認証なしで細工したパケットを送るだけで、メモリの範囲外を読んだり、解放済みのメモリを使ったりして、プロセスが落ちる恐れがあります（可用性への影響が中心です）。

CVE	場所	内容	点数（GitHub 評価 CVSS v3.1）
CVE-2026-93424	NetFlow v9 / IPFIX の収集部（テンプレートの管理）	排他制御を外れたポインタの使用で、解放済みのメモリを読む（CWE-416）。NetFlow 用のポートを 2 つ以上使う設定で、テンプレートの再定義と処理が重なると、確実に落とせると記載	7.5（可用性のみ 高）
CVE-2026-92697	NetFlow v9 の収集部	インターフェース説明の項目に終端文字がないと、長さを超えて読む（CWE-125）。落ちる可能性	7.5（可用性のみ 高）
CVE-2026-92698	sFlow v5 の収集部	記録の中のヘッダー長を検証せずに信用し、受信バッファの外を読む（CWE-125）。落ちる。隣のメモリの一部が解析結果に出る可能性も記載	8.2（機密性 低・可用性 高）
CVE-2026-92693	sFlow v5 の RAW_PACKET_HEADER の解析	IPv6 の断片ヘッダーが途中で切れていても読みに行き、範囲外を読む（CWE-125）。検証用のコードで AddressSanitizer が読み出しを検知したが、本番でプロセスが落ちることまでは示されていないと記載	8.2（機密性 低・可用性 高）
CVE-2026-92695	pcap（ミラーしたパケットの直接取り込み、pcap = on の設定）	取り込んだフレームの長さを確認せず、短いフレームや細工した IPv4 ヘッダー長で範囲外を読み、プロセスが終了する（CWE-125）	8.2（機密性 低・可用性 高）
CVE-2026-92694	画面表示（IPv6 の上位通信元一覧）の処理	排他制御なしに集計表を走査し、別の処理が表を作り直す競合（CWE-362）。未定義の動作は確認したが、落ちることは観測されておらず、確実なサービス停止は示されていない	5.9（攻撃条件 高・可用性のみ 高）

攻撃できる条件

• sFlow・NetFlow・IPFIX の受け口（多くは UDP）に、攻撃者がパケットを送り込めること。収集用のポートが管理用のネットワーク以外から届く構成、または送信元を絞っていない構成では、インターネット側からも届き得ます。
• 92695 は、pcap で直接取り込む設定のとき、監視している回線にフレームを流せる相手が対象です。
• 93424 は、NetFlow 用のポートを 2 つ以上開いている構成が条件です。92694 は、対象の IPv6 の範囲が監視対象のネットワーク一覧に入っている構成が条件です。

評価

• どれも認証は不要（92694 を除き攻撃条件も低い）ですが、影響は**サービス停止（と、一部で隣のメモリの一部の漏えい）**にとどまり、コード実行の記載はありません。基準（認証不要かつ 9 以上は critical、それ未満は high）では、最高 8.2 の本件は severity を high とするのが妥当と考えます。
• ただし FastNetMon は DDoS を見つけるための道具です。攻撃を受けている最中に検知が止まると、遮断や通知の自動化も止まるため、実際の影響は点数以上になり得ます。
• FIRST の EPSS は、取得時点（2026-11-06）で 6 件とも未付与でした。CISA の KEV には掲載されていません（2026-11-06 に一覧を検索）。実際の攻撃での悪用は、本稿では確認できていません。

対策として考えられること

1. 修正版が出ていない（NVD の記載）ため、まず収集用のポート（sFlow・NetFlow・IPFIX）の送信元を、ルーターなど正規の機器だけに絞る（ファイアウォール・ACL）。インターネット側から届かないようにします。
2. 使っていない収集方式（sFlow・NetFlow・pcap）は無効にし、NetFlow 用のポートは 1 つに絞ります（93424 の条件を外せます）。
3. FastNetMon が落ちたときに自動で再起動する設定にし、プロセスの停止を監視します。検知が止まったことに気付けるようにするためです。
4. 各件の NVD の参照先（GitHub の勧告・修正コミット・プルリクエスト）を確認し、修正を含むビルドが出たら更新します。ソースから組み立てている場合は、修正コミットの取り込みも選べます。

未確認の点

• 実際の攻撃での悪用の有無。EPSS は未付与。
• GitHub の勧告（6 件分）と修正コミットの中身（本稿では NVD の記述のみ読みました）。コミットが指す修正が 6 件すべてを直すか、どの版で出荷されるか。
• 1.2.9 より前の版への影響（NVD は「1.2.9 以前」と記載）。
• 92693 と 92694 でプロセス停止まで起こせるか（NVD は未確認と記載）。
• NVD の最終評価（現在は Deferred で、変わる可能性があります）。