---
title: "画像ライブラリ libheif 1.18.0〜1.23.2 で、クロマ成分のビット深度が異なる HEIF ファイルによりヒープ領域へ書き込めるバッファオーバーフロー（CVE-2026-120208）: 1.23.3 で修正、CVSS 7.5（VulnCheck）"
url: https://n-t-p.io/worldsecurity/articles/libheif-unci-mixed-interleave-heap-buffer-overflow-unequal-chroma-bit-depth-1-18-0-to-1-23-2-cve-2026-120208
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年11月1日
updated: 2026年11月1日
severity: 高
cve: CVE-2026-120208
---

# 画像ライブラリ libheif 1.18.0〜1.23.2 で、クロマ成分のビット深度が異なる HEIF ファイルによりヒープ領域へ書き込めるバッファオーバーフロー（CVE-2026-120208）: 1.23.3 で修正、CVSS 7.5（VulnCheck）

> **TL;DR:** 画像ライブラリ libheif の 1.18.0 以上 1.23.3 未満で、2 つのクロマ成分のビット深度が異なる細工された HEIF ファイルを読み込むと、unci の混在インターリーブ方式のデコーダーでヒープ上のバッファオーバーフローが起き、コード実行に至る可能性があると説明されている（CVE-2026-120208、CWE-122）。CVSS v3.1 は 7.5、v4.0 は 7.7（いずれも VulnCheck が付与、NVD 自身の評価は未実施）。1.23.3 で修正済み（2026-09-01 公開、確認時点の最新は 1.23.7）。EPSS は公開直後のため未算出、KEV なし、悪用の報告は未確認。

**要点**
- libheif 1.18.0 以上 1.23.3 未満：クロマ成分のビット深度が異なる細工された HEIF ファイルの読み込みでヒープ上のバッファオーバーフローが起き、コード実行の可能性があると説明されている。再現は当サイトでは未実施
- CVSS v3.1 は 7.5、v4.0 は 7.7（VulnCheck の値）。NVD の状態は Deferred。攻撃の複雑さは高、利用者の操作が必要。EPSS は公開直後のため未算出、KEV なし、悪用の報告は未確認
- 1.23.3 で修正（2026-09-01 公開）。確認時点の最新版は 1.23.7。libheif を組み込んだ画像変換・サムネイル生成などの仕組みは、同梱の版の確認と更新が必要
- リリースノートの該当項目と本件 CVE の対応は記載内容の一致に基づく推定（CVE 番号は未記載）
- コード実行の実現性、具体的な悪用条件、悪用の有無は未確認

NVD は 2026-10-31（18:17 UTC）に、HEIF/HEIC 画像を扱うオープンソースのライブラリ「libheif」の CVE-2026-120208 を登録しました。説明によれば、**1.18.0 以上 1.23.3 未満**で、非圧縮（unci）形式の混在インターリーブ方式を読み込む `unc_decoder_mixed_interleave::processTile()` に**ヒープ上のバッファオーバーフロー**（CWE-122）があります。2 つの色差（クロマ）成分で**ビット深度が異なる**ファイル（例: Cb が 16 ビット、Cr が 8 ビット）を読み込むと、Cr 用の領域の外側にファイルの内容に応じた書き込みが起き、画像処理の流れの中で**コード実行に至る可能性がある**とされています。登録元（CNA）は VulnCheck で、NVD の状態は「Deferred」（NVD による分析の優先度が下がっている状態）です。

## 何が起きるか（CNA の説明とプロジェクトの記載）

- 細工した HEIF ファイルを libheif で読み込ませる（デコードする）と、ヒープ領域の範囲外へ書き込まれます。書き込まれる内容と長さは、ファイルの側で決められると説明されています。
- libheif の 1.23.3 リリースノートは、同リリースの修正のうち 1 件を「critical（重大）」と評価し、全ての利用者に更新を強く勧めています。このリリースノートの 1 件目の記載は、本件の説明（unci の混在インターリーブ方式のデコーダー、2 つのクロマ成分のビット深度が異なる場合）と内容が一致します。ただし、リリースノートの時点では CVE 番号が未割り当てで「CVE-2026-XXXXX」と書かれているため、本件との対応は記載内容の一致に基づく当サイトの推定です。
- CVSS v3.1 は 7.5（High、CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H）、CVSS v4.0 は 7.7（High）です。いずれも **VulnCheck（CNA）が付与した値**で、NVD 自身の評価はありません。ベクターでは、攻撃の複雑さが高（AC:H）、利用者の操作が必要（UI:R）とされています。
- 攻撃の入口は、libheif で画像を読み込む処理です。画像の変換、サムネイル生成、プレビューなど、外部から受け取った画像を自動で処理する仕組みが対象になり得ます。攻撃にはファイルを処理させる必要があり、ネットワークから直接アクセスされるサービスの欠陥とは性質が異なります。
- 実際の攻撃での悪用の報告は確認できていません。公開されている攻撃コードの有無も確認していません。

## 影響を受ける条件と評価

| 項目 | 内容 |
|---|---|
| 対象 | libheif 1.18.0 以上 1.23.3 未満（CNA の記載） |
| 弱点 | CWE-122（ヒープ領域のバッファオーバーフロー） |
| 前提 | 細工された HEIF ファイルを libheif がデコードすること。unci（非圧縮）形式の混在インターリーブを扱う経路 |
| 影響 | ヒープ領域への範囲外書き込み。コード実行の可能性があると説明されている（実現性は未確認） |
| CVSS | v3.1 は 7.5、v4.0 は 7.7。いずれも VulnCheck（CNA）の値 |
| 状態 | NVD の状態は「Deferred」（NVD 自身の分析は未実施） |
| EPSS | 公開直後のため FIRST に値がない（未算出） |
| KEV | 掲載なし（CISA の 2026.10.30 版、1766 件） |
| 修正 | 1.23.3（2026-09-01 にプロジェクトが公開）。2026-11-01 時点の最新版は 1.23.7 |

## severity を high とした理由

CVSS はいずれも High（7.5 / 7.7）で、本記事の severity 欄も high としました（当サイトの判断）。コード実行の可能性が説明されている一方、細工した画像を処理させる必要があり、ベクター上も攻撃の複雑さが高・利用者の操作が必要とされています。プロジェクト自身は修正のうち 1 件を「critical」と評価していますが、CVSS には反映されておらず、この評価と本件の対応は推定です。

## 対応として考えられること（本記事の推定）

1. libheif を直接使っているアプリケーションや、libheif を組み込んだ画像処理の仕組み（画像変換ツール、サムネイル生成、画像ビューアー、Web サービスの画像アップロード処理など）を洗い出します。
2. 使っている版が 1.18.0〜1.23.2 の範囲かを確認し、1.23.3 以降（確認時点の最新は 1.23.7）へ更新します。OS のパッケージや、他のソフトに同梱された libheif は、提供元の更新を待つ必要がある場合があります。同梱されている版の確認はそれぞれの提供元の情報で行ってください。
3. 更新までの間、外部から受け取った HEIF/HEIC ファイルを自動で処理している場合は、処理を行うプロセスの権限を絞る、隔離した環境で処理する、といった影響を小さくする措置を検討します。
4. 異常終了（クラッシュ）が不自然に増えていないかを、画像処理を行うサービスのログで確かめます。具体的な攻撃の指標は公開されておらず、未確認です。

## 未確認の点

- 実際にコード実行まで可能か（実現性）は未確認です。CNA の説明は「可能性がある」としています。
- 攻撃の再現はしていません。悪用の報告は確認できていません。KEV にも載っていません（確認時点の版）。
- CVSS は VulnCheck の値のみで、NVD 自身の評価は確認できていません。
- リリースノートの該当項目と本件 CVE の対応は、記載内容の一致に基づく推定です（リリースノートに CVE 番号なし）。
- GitHub のセキュリティ勧告（GHSA-x8r2-mggj-j6wr）は参照先に載っていますが、本文は確認できていません。
- 当サイトでは、挙動を再現していません。記載は NVD とプロジェクトのリリースノートに基づきます。
- 日付は NVD の登録（2026-10-31 18:17 UTC）と、リリースノートの公開日（2026-09-01）に基づきます。


## 出典
- [NVD CVE-2026-120208](https://nvd.nist.gov/vuln/detail/CVE-2026-120208) — NIST NVD
- [libheif v1.23.3 リリースノート](https://github.com/strukturag/libheif/releases/tag/v1.23.3) — libheif（strukturag）
- [libheif セキュリティ勧告 GHSA-x8r2-mggj-j6wr](https://github.com/strukturag/libheif/security/advisories/GHSA-x8r2-mggj-j6wr) — libheif（strukturag）
- [VulnCheck Advisory: libheif 1.18.0 before 1.23.3](https://www.vulncheck.com/advisories/libheif-1.18.0-before-1.23.3-heap-buffer-overflow-via-unci-mixed-interleave-decoder) — VulnCheck
- [FIRST EPSS CVE-2026-120208](https://api.first.org/data/v1/epss?cve=CVE-2026-120208) — FIRST
- [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/libheif-unci-mixed-interleave-heap-buffer-overflow-unequal-chroma-bit-depth-1-18-0-to-1-23-2-cve-2026-120208