CVE-2026-49282 in Capstone
要約
〜によって VulDB • 2026年08月14日
Capstoneは逆アセンブリフレームワークです。バージョン6.0.0-Alpha9より前では、Capstoneの公開API `cs_insn_name()` は呼び出し元が指定した命令IDを直接選択されたアーキテクチャバックエンドに渡していました。ほとんどのバックエンドは命令名テーブルへのインデックス付けを行う前にIDを検証しますが、M68KおよびRISCVバックエンドには境界チェックの欠落または不備があります。M68KまたはRISCV用に開かれたCapstoneハンドルにおいて、呼び出し元が制御する無効な命令IDによって配列外読み取りが発生し、プロセスがクラッシュすることがあります。実証された影響は、信頼できないIDに対する命令名のルックアップを公開しているアプリケーションやバインディングにおける可用性の喪失です。コードの実行やデータの漏洩は実証されていません。バージョン6.0.0-Alpha9でこの問題が修正されました。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.