--- title: "imgproxy 4.0.0 以上 4.0.16 未満、ICO ローダーの整数オーバーフロー（GHSA-hff9-5pqw-6w9f、CVSS 9.8）" url: https://n-t-p.io/worldsecurity/articles/imgproxy-ico-loader-integer-overflow-ghsa-hff9-5pqw-6w9f lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月7日 updated: 2026年11月7日 severity: 緊急 --- # imgproxy 4.0.0 以上 4.0.16 未満、ICO ローダーの整数オーバーフロー（GHSA-hff9-5pqw-6w9f、CVSS 9.8） > **TL;DR:** imgproxy 4.0.0〜4.0.15 の ICO ローダーで整数オーバーフローが起き、細工した画像でクラッシュやコード実行につながる可能性がある（CVSS 9.8）。CVE は未採番。4.0.16 で修正済み。KEV 掲載なし。 **要点** - ICO ローダーの 32 ビットのサイズ計算が一周し、確保したメモリの外へ書き込む（CWE-190・122） - 認証なしでネットワークから攻撃できる評価（CVSS 9.8、AV:N/PR:N） - 4.0.0 以上 4.0.16 未満が対象。4.0.16（2026-09-28 公開）で修正 - CVE は未採番で、KEV 掲載なし。EPSS は算出なし 画像変換サーバー imgproxy の ICO（アイコン）画像の読み込み部分に、整数オーバーフローによるヒープ領域の書き込み超過があります。GitHub は重大度を Critical、CVSS v3.1 を 9.8 と評価しています。CVE は未採番で、識別子は GHSA-hff9-5pqw-6w9f です。修正版 4.0.16 は 2026 年 9 月 28 日に公開済みで、勧告の公開は 10 月 31 日 7:57（JST）です。CISA の KEV には載っていません。EPSS は CVE が無いため算出されていません。 ## 何が起きるか ICO ローダーが画像サイズを 32 ビットで計算しており、細工した画像では値が一周して小さくなります。その結果、確保するメモリが足りなくなり、読み込み時に確保領域の外へ書き込みます。勧告は、imgproxy がクラッシュする（サービス拒否）ほか、リモートからのコード実行につながる可能性があると説明しています。 - 弱点の種類は CWE-190（整数オーバーフロー）と CWE-122（ヒープのバッファ超過）です。 - CVSS ベクトルは AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H で、認証なしにネットワークから攻撃できる評価です。 ## 対象と修正版 | 対象 | 修正版 | |---|---| | imgproxy 4.0.0 以上 4.0.16 未満 | 4.0.16 | 4.0 系より前（3.x など）は、勧告の対象範囲に含まれていません。4.0.16 のリリースノートには「ICO 画像ローダーの複数の脆弱性を修正」と書かれています。 ## 数値で見る | 項目 | 値 | |---|---| | CVSS v3.1（GitHub 評価） | 9.8 Critical | | CVE | 未採番（GHSA-hff9-5pqw-6w9f） | | EPSS | CVE 未採番のため算出なし | | CISA KEV | 掲載なし | | 勧告の公開 | 2026-10-31 07:57 JST | | 修正版の公開 | 2026-09-28（4.0.16） | ## 対応の考え方 - imgproxy 4.0.0〜4.0.15 を使っているなら、4.0.16 以降へ更新してください。 - すぐに更新できない間は、外から取得させる画像の形式を絞れるかを検討してください（ICO を許可しない設定にできるかは、利用中の設定で確認が必要です）。 - 外部の URL を処理に渡している場合は、クラッシュの繰り返しや、不審な ICO 形式のリクエストがないかをログで確かめてください。 ## 確認できていない点 - 実環境での悪用の報告は、勧告・KEV のいずれにも見当たりません。 - CVE が採番された時点で、NVD の評価と差が出る可能性があります。 - 細工した画像での再現は手元では行っていません。 ## 出典 - [GitHub Advisory GHSA-hff9-5pqw-6w9f](https://github.com/advisories/GHSA-hff9-5pqw-6w9f) — GitHub - [imgproxy v4.0.16 リリース](https://github.com/imgproxy/imgproxy/releases/tag/v4.0.16) — imgproxy - [CISA Known Exploited Vulnerabilities Catalog（JSON）](https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json) — CISA --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/imgproxy-ico-loader-integer-overflow-ghsa-hff9-5pqw-6w9f