Netpbm の変換ツール 6 件のメモリ破壊 CVE-2026-120431〜120436（CVSS v3.1 7.8）: 細工した画像ファイルでヒープ・スタックのバッファオーバーフロー

NVD は 2026-11-02 に、画像変換ツール集 Netpbm の脆弱性 6 件（CVE-2026-120431〜120436）を登録しました。SGI、ICO/CUR、PICT、XPM、JBIG の各形式の変換ツールで、細工した画像ファイルを処理するとバッファオーバーフローや整数オーバーフローによるメモリ破壊が起き、クラッシュやコード実行につながり得ます。CVSS v3.1 は 6 件とも 7.8、攻撃経路はローカルで、ユーザーが細工ファイルを開く操作が必要です。

概要

CVE	対象ツール	問題	CWE
CVE-2026-120431	sgitopnm	RLE 圧縮の SGI 画像で、オフセット表の長さが大きいと readChannels() がヒープの範囲外に書き込む	CWE-122
CVE-2026-120432	winicontopam	ICO/CUR の幅または高さが 32767 を超えると、16 ビット整数のループ変数が負の値に回り込み、ヒープを破壊する	（NVD 未記載）
CVE-2026-120433	picttoppm	PICT の多角形が 100 点を超えると、paintPoly() が固定長の配列を超えてスタックを上書きする	CWE-121
CVE-2026-120434	picttoppm	多角形の辺が 5000 点を超える座標を作ると、scanPoly() の座標配列がスタック上で溢れる	CWE-121
CVE-2026-120435	xpmtoppm	XPM ヘッダーの 1 画素あたり文字数が 3 を超えると、固定 3 バイトの色名エントリを超えて書き込む	CWE-787
CVE-2026-120436	jbigtopnm	複数プレーンの JBIG でヘッダーの寸法が大きいと、出力バッファの大きさの計算が整数オーバーフローし、ヒープが溢れる	CWE-190

• 影響を受ける版（NVD の記載）: Netpbm 10.86.51 より前、11.x の 11.02.30 より前（120431 のみ 11.02.29 より前）、11.03 系の 11.15.08 より前（120431 のみ 11.15.07 より前）。
• 6 件とも CVSS v3.1 は 7.8（AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H）、CVSS v4.0 は 8.5（AV:L、UI:P）です。VulnCheck が付与しています。
• NVD 公開日は 2026-11-02 です。

影響範囲

• 攻撃経路はローカルです。細工した画像ファイルを、該当の変換コマンドが読み込んだときに問題が起きます。サーバー側でアップロード画像を Netpbm に自動で渡す仕組みがある場合は、外部の利用者のファイルが入力になり得るため、実質的な到達範囲が広がります。ただしその構成は NVD には書かれておらず、個別の環境で確認が必要です。
• NVD の記載は「クラッシュまたはコード実行の可能性」です。実際にコード実行が成立するかは未確認です。
• 認証は不要（PR:N）ですが、ファイルを処理させる操作（UI:R）が前提です。

修正

NVD の参照には、Netpbm のソース変更履歴（HISTORY）と VulnCheck の勧告が挙がっています。記載の版は 10.86.51、11.02.30、11.15.08（120431 は 11.02.29、11.15.07）で、これ以降の版で修正されたと読めます。各配布元（Linux ディストリビューションなど）のパッケージ更新の状況は確認できていません。

数値と出典（2026-11-03 時点）

項目	内容
NVD の状態	Awaiting Analysis（NVD 自身の分析は未実施）
CVSS v3.1	6 件とも 7.8（HIGH）
EPSS	6 件とも未算定（FIRST の API に該当データなし）
KEV	掲載なし（CISA のカタログを確認）
出典	NVD、VulnCheck の勧告、FIRST（EPSS）、CISA（KEV）

severity を high とした提案の理由

攻撃経路がローカル（AV:L）で、ファイルを開く操作が必要（UI:R）、CVSS v3.1 は 7.8 と 9 未満のため、過去の判断の基準（認証不要かつ CVSS 9 以上だけ critical）に従い high を提案します。

対応として考えられること

1. Netpbm を使っている場合は、版を確認し、10.86.51・11.02.30・11.15.08 以降（またはディストリビューションが提供する修正済みのパッケージ）に更新します。
2. 信頼できない画像を Netpbm の変換ツールに自動で渡している処理（アップロード画像の変換など）がないかを点検し、あれば更新まで停止するか、隔離した環境で実行します。
3. 不要な変換ツール（SGI・ICO・PICT・XPM・JBIG）の入力を受け付けない設定にします。

未確認の点

• 実際の攻撃での悪用は確認していません。
• 各ディストリビューションのパッケージが修正済みかは確認できていません。
• ベンダー（Netpbm 配布元）の勧告本文は取得できていません。
• コード実行が現実に成立するかは確認していません。
• NVD の分析は未実施です。