目次（5）
画像変換サーバー imgproxy の ICO（アイコン）画像の読み込み部分に、整数オーバーフローによるヒープ領域の書き込み超過があります。GitHub は重大度を Critical、CVSS v3.1 を 9.8 と評価しています。CVE は未採番で、識別子は GHSA-hff9-5pqw-6w9f です。修正版 4.0.16 は 2026 年 9 月 28 日に公開済みで、勧告の公開は 10 月 31 日 7:57（JST）です。CISA の KEV には載っていません。EPSS は CVE が無いため算出されていません。
何が起きるか
ICO ローダーが画像サイズを 32 ビットで計算しており、細工した画像では値が一周して小さくなります。その結果、確保するメモリが足りなくなり、読み込み時に確保領域の外へ書き込みます。勧告は、imgproxy がクラッシュする（サービス拒否）ほか、リモートからのコード実行につながる可能性があると説明しています。
- 弱点の種類は CWE-190（整数オーバーフロー）と CWE-122（ヒープのバッファ超過）です。
- CVSS ベクトルは AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H で、認証なしにネットワークから攻撃できる評価です。
対象と修正版
| 対象 | 修正版 |
|---|---|
| imgproxy 4.0.0 以上 4.0.16 未満 | 4.0.16 |
4.0 系より前（3.x など）は、勧告の対象範囲に含まれていません。4.0.16 のリリースノートには「ICO 画像ローダーの複数の脆弱性を修正」と書かれています。
数値で見る
| 項目 | 値 |
|---|---|
| CVSS v3.1（GitHub 評価） | 9.8 Critical |
| CVE | 未採番（GHSA-hff9-5pqw-6w9f） |
| EPSS | CVE 未採番のため算出なし |
| CISA KEV | 掲載なし |
| 勧告の公開 | 2026-10-31 07:57 JST |
| 修正版の公開 | 2026-09-28（4.0.16） |
対応の考え方
- imgproxy 4.0.0〜4.0.15 を使っているなら、4.0.16 以降へ更新してください。
- すぐに更新できない間は、外から取得させる画像の形式を絞れるかを検討してください（ICO を許可しない設定にできるかは、利用中の設定で確認が必要です）。
- 外部の URL を処理に渡している場合は、クラッシュの繰り返しや、不審な ICO 形式のリクエストがないかをログで確かめてください。
確認できていない点
- 実環境での悪用の報告は、勧告・KEV のいずれにも見当たりません。
- CVE が採番された時点で、NVD の評価と差が出る可能性があります。
- 細工した画像での再現は手元では行っていません。
この記事について
- 執筆・編集
- World Security 編集部
