---
title: "MT-32 エミュレータ用ライブラリ libmt32emu 2.8.4 未満で、長すぎる SysEx メッセージによりヒープ破壊（CVE-2026-121941）: CVSS v3.1 7.8、修正版あり"
url: https://n-t-p.io/worldsecurity/articles/libmt32emu-cve-2026-121941-sysex-heap-overflow
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年11月7日
updated: 2026年11月7日
severity: 高
cve: CVE-2026-121941
---

# MT-32 エミュレータ用ライブラリ libmt32emu 2.8.4 未満で、長すぎる SysEx メッセージによりヒープ破壊（CVE-2026-121941）: CVSS v3.1 7.8、修正版あり

> **TL;DR:** MT-32 エミュレータ用ライブラリ libmt32emu の 2.8.4 未満で、終端のない SysEx メッセージを 32768 バイト超与えるとヒープ領域の外へ書き込み、クラッシュする（CVE-2026-121941、CWE-122、CVSS v3.1 7.8）。2.8.4 で修正。

**要点**
- 終端のない巨大な SysEx で `parseSysex` がヒープの外へ書き込む（CVE-2026-121941）。
- CVSS v3.1 は 7.8。ローカルでユーザー操作が必要なため severity は high。
- 2.8.4 で修正されたとされる。それより前の版と、同梱する製品は更新が必要。
- クラッシュ以外に至るか、悪用の有無は未確認。

MT-32 などの Roland 音源を再現するエミュレータ用ライブラリ libmt32emu（munt プロジェクト）の 2.8.4 より前の版に、ヒープバッファオーバーフローの脆弱性（CVE-2026-121941）があります。2026-11-04 に NVD へ登録されました。登録元は VulnCheck で、NVD の状態は「Received」（NVD の分析はまだ）です。

## 何が起きるか
- MIDI ストリームを解析する `MidiStreamParserImpl::parseSysex` が、終端のない SysEx メッセージを受け取り続けたときに、確保したメモリの外へ書き込みます（CWE-122）。
- 公開情報によると、32768 バイトを超える SysEx のデータバイトを `mt32emu_parse_stream` API に渡すと発生します。入力は MIDI ファイル、MIDI ポート、シーケンサークライアントのいずれでもよいとされています。
- 結果として、ヒープメモリが壊れ、アプリケーションがクラッシュします。CVSS では機密性・完全性・可用性とも「高」とされていますが、クラッシュ以外にコード実行まで可能かは公開情報では確認できません（下の「未確認の点」）。
- 攻撃は、細工した MIDI データをユーザーに開かせる、または再生させる形になります（CVSS では UI:R、ローカル）。

## 数値と severity
- CVSS v3.1 は 7.8（HIGH）。ベクターは AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H です。CVSS v4.0 は 8.5（HIGH）です。
- 攻撃元がローカルでユーザー操作が必要なため、severity は high とします。
- EPSS と CISA の KEV は本記事の作成時点で未確認です。

## 影響を受ける製品と修正
- libmt32emu 2.8.4 より前のすべての版。
- 2.8.4 で修正されたとされています。修正コミットと、プロジェクトの issue が公開されています。
- libmt32emu を組み込んでいる MIDI 再生ソフトやエミュレータ（Munt 本体など）が間接的に影響を受ける可能性があります。どの製品がどの版を同梱しているかは本記事では確認していません。

## 対策
- libmt32emu を直接使っている場合は 2.8.4 以降に更新する。
- 同ライブラリを同梱する製品を使っている場合は、各製品の更新情報を確認し、更新を適用する。
- 更新までの間の対応として、次のようなものが考えられます（公式の指示ではありません）。
  - 出所の分からない MIDI ファイルを開かない、再生しない。
  - 自分のアプリケーションで `mt32emu_parse_stream` に渡す前に、SysEx の長さを制限する。

## 未確認の点
- 悪用の有無と、攻撃コードの公開状況。
- クラッシュ以外（コード実行など）に至るかどうか。
- 2.8.4 を同梱済みの製品と、更新が出ている製品の一覧。
- NVD の最終評価、EPSS、KEV の掲載状況。

## 出典
- NVD: CVE-2026-121941
- VulnCheck: libmt32emu-before-2.8.4-heap-buffer-overflow-via-midistreamparserimpl-parsesysex
- 修正コミット 1749f7f / munt プロジェクトの issue #149


## 出典
- [NVD CVE-2026-121941](https://nvd.nist.gov/vuln/detail/CVE-2026-121941) — NIST NVD
- [VulnCheck Advisory](https://www.vulncheck.com/advisories/libmt32emu-before-2.8.4-heap-buffer-overflow-via-midistreamparserimpl-parsesysex) — VulnCheck
- [修正コミット 1749f7f](https://github.com/munt/munt/commit/1749f7fed5cdb3a9015acce076a1512b1615dc3b) — GitHub
- [munt issue #149](https://github.com/munt/munt/issues/149) — GitHub

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/libmt32emu-cve-2026-121941-sysex-heap-overflow