MT-32 エミュレータ用ライブラリ libmt32emu 2.8.4 未満で、長すぎる SysEx メッセージによりヒープ破壊（CVE-2026-121941）: CVSS v3.1 7.8、修正版あり

MT-32 などの Roland 音源を再現するエミュレータ用ライブラリ libmt32emu（munt プロジェクト）の 2.8.4 より前の版に、ヒープバッファオーバーフローの脆弱性（CVE-2026-121941）があります。2026-11-04 に NVD へ登録されました。登録元は VulnCheck で、NVD の状態は「Received」（NVD の分析はまだ）です。

何が起きるか

• MIDI ストリームを解析する MidiStreamParserImpl::parseSysex が、終端のない SysEx メッセージを受け取り続けたときに、確保したメモリの外へ書き込みます（CWE-122）。
• 公開情報によると、32768 バイトを超える SysEx のデータバイトを mt32emu_parse_stream API に渡すと発生します。入力は MIDI ファイル、MIDI ポート、シーケンサークライアントのいずれでもよいとされています。
• 結果として、ヒープメモリが壊れ、アプリケーションがクラッシュします。CVSS では機密性・完全性・可用性とも「高」とされていますが、クラッシュ以外にコード実行まで可能かは公開情報では確認できません（下の「未確認の点」）。
• 攻撃は、細工した MIDI データをユーザーに開かせる、または再生させる形になります（CVSS では UI:R、ローカル）。

数値と severity

• CVSS v3.1 は 7.8（HIGH）。ベクターは AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H です。CVSS v4.0 は 8.5（HIGH）です。
• 攻撃元がローカルでユーザー操作が必要なため、severity は high とします。
• EPSS と CISA の KEV は本記事の作成時点で未確認です。

影響を受ける製品と修正

• libmt32emu 2.8.4 より前のすべての版。
• 2.8.4 で修正されたとされています。修正コミットと、プロジェクトの issue が公開されています。
• libmt32emu を組み込んでいる MIDI 再生ソフトやエミュレータ（Munt 本体など）が間接的に影響を受ける可能性があります。どの製品がどの版を同梱しているかは本記事では確認していません。

対策

• libmt32emu を直接使っている場合は 2.8.4 以降に更新する。
• 同ライブラリを同梱する製品を使っている場合は、各製品の更新情報を確認し、更新を適用する。
• 更新までの間の対応として、次のようなものが考えられます（公式の指示ではありません）。
  • 出所の分からない MIDI ファイルを開かない、再生しない。
  • 自分のアプリケーションで mt32emu_parse_stream に渡す前に、SysEx の長さを制限する。

未確認の点

• 悪用の有無と、攻撃コードの公開状況。
• クラッシュ以外（コード実行など）に至るかどうか。
• 2.8.4 を同梱済みの製品と、更新が出ている製品の一覧。
• NVD の最終評価、EPSS、KEV の掲載状況。

出典

• NVD: CVE-2026-121941
• VulnCheck: libmt32emu-before-2.8.4-heap-buffer-overflow-via-midistreamparserimpl-parsesysex
• 修正コミット 1749f7f / munt プロジェクトの issue #149