HDF5 の外部リンク処理でヒープ領域の読み過ぎ（CVE-2026-120757）: CVSS v3.1 7.1、2.3.0 より前が対象、細工したファイルを開くと発生

HDF5（科学・工学分野で使われるデータ形式と、そのライブラリ）の 2.2.0 以前に、外部リンクの処理でヒープ領域を読み過ぎる欠陥（CWE-125）があるとして、CVE-2026-120757 が 2026-11-03 に NVD に登録されました。The HDF Group の修正版は 2.3.0 とされています。

何が起きるか

• 欠陥があるのは、外部リンク（別のファイルのデータへの参照）をたどる処理 H5L__extern_traverse()（src/H5Lexternal.c）です。
• この処理は、リンクの情報に入っているファイル名とオブジェクトのパスを strlen() で探しますが、保存されているデータの大きさを確かめていませんでした。
• 終端の文字（NULL）がない、または短すぎる外部リンクを持つ細工したファイルを開いてリンクをたどると、バッファの終わりを越えて、ゼロのバイトが見つかるまで読み続けます。
• NVD の説明では、細工したファイルをユーザーやアプリケーションに開かせることで、サービス停止（DoS）を起こせるほか、隣のヒープの内容が、開こうとする外部ファイル名やパスに混ざる可能性があります。
• 発生には、悪意あるリンクをたどる操作（そのリンク経由でオブジェクトを開くなど）が要ります。

数値と severity

• CVSS v3.1 は 7.1（HIGH）で、評価元は NVD（Primary）です。ベクターは AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:H で、ローカル（ファイルを開く）、権限は不要、利用者の操作が必要、機密性と可用性への影響が高いことを示します。
• CVSS v4.0 は 6.9（MEDIUM、評価元 The HDF Group・Secondary）。AV:L・UI:P で、機密性は低、可用性は高としています。
• NVD の状態は Analyzed（2026-11-04 時点）です。
• 数値が 9 未満で、攻撃にはファイルを開く操作が要るため、severity は high とします。
• FIRST の EPSS はデータなし（算出前）。CISA の KEV には載っていません。

対策

• HDF5 を 2.3.0 以降に更新する。
• 更新までは、出所の分からない HDF5 ファイルを開かない。外部から受け取ったファイルを自動で処理するサービスでは、処理を分離した環境で動かす。
• HDF5 を内部に組み込んだ他の製品（データ解析ツールや各種言語のバインディング）は、取り込んでいる HDF5 の版を確かめる。

未確認の点

• 実際に悪用されているか、規模はどの程度か。
• 概念実証（PoC）が公開されているか。
• 2.3.0 以外の版や、HDF5 を組み込んだ製品への影響の有無。
• NVD の参照先（GitHub の修正の提案）の中身。本稿では開いていません。
• EPSS。

出典

• NVD: CVE-2026-120757
• FIRST EPSS（CVE-2026-120757 はデータなし）