Kore 4.3.0 未満の HTTP 本文処理に整数アンダーフロー（CVE-2026-121727）: 認証不要でメモリを使い切らせる恐れ、CVSS v3.1 7.5、修正版 4.3.0 あり

Kore（C 言語製の Web アプリケーション基盤）の 4.3.0 より前の版で、HTTP リクエスト本文の処理に整数アンダーフローがあるとして、CVE-2026-121727 が 2026-11-03 に NVD に登録されました。登録元は VulnCheck です。

何が起きるか

• NVD の記載によると、認証なしの攻撃者が、設定された本文の上限（http_body_max）を回避できます。リクエストで示した長さより多くの本文バイトを送ると、上限の判定をすり抜けます。
• 大きな最初の断片を、多数の POST・PUT・DELETE 接続から同時に送ると、内部の content_length が桁あふれして、バッファが際限なく大きくなります。ワーカーのメモリを使い切り、サービス拒否につながるとされています。
• NVD の分類は CWE-191（整数アンダーフロー）です。影響は可用性（サービス停止）で、情報の漏えいや改ざんは NVD の評価には含まれていません。

数値と severity

• CVSS v3.1 は 7.5（HIGH）で、ベクターは AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H です。CVSS v4.0 は 8.7（HIGH）です。評価元はいずれも VulnCheck です。
• NVD の状態は Received で、NVD 自身の評価はまだありません。
• 認証は不要ですが、CVSS が 9 未満で影響が可用性に限られるため、severity は high とします。
• FIRST の EPSS はデータなし（算出前）。CISA の KEV には載っていません。

対策

• Kore を使っている場合は、修正版の 4.3.0 に更新する（参照先のリリース情報で案内されています。NVD の記載では 4.3.0 より前が対象です）。
• すぐ更新できない場合は、前段のリバースプロキシやロードバランサーで、リクエスト本文の大きさや同時接続数を制限する。
• ワーカーのメモリ使用量が急に増えていないか監視する。

未確認の点

• 実際に悪用されているか、攻撃コードが出回っているか。
• 4.3.0 より前のすべての版が同じ条件で影響を受けるか（コミットや参照先のアドバイザリは、本稿では開いていません）。
• Kore を使った製品や、組み込み先への影響の広がり。
• NVD の最終評価と EPSS。

出典

• NVD: CVE-2026-121727
• VulnCheck アドバイザリ（NVD の参照先。未開封）
• Kore 4.3.0 リリース情報（NVD の参照先。未開封）
• FIRST EPSS（CVE-2026-121727 はデータなし）、CISA KEV（掲載なし）