CVE-2026-61714 in FluidSynth
要約
〜によって VulDB • 2026年09月19日
FluidSynthは、SoundFont 2の仕様に基づいたソフトウェアシンセサイザーです。バージョン2.2.4から2.5.6の間、synth.midi-channelsを16より大きい値に設定すると、アクティブなチャンネルを追跡する際にMIDIプレーヤーが固定サイズのヒープ割り当て外にある_fluid_player_t::channel_isplayingのインデックスアクセスを行い、境界外読み書きが発生します。これにより未定義動作を引き起こし、機密性、完全性、または可用性を損なう可能性があります。攻撃には不正に作成されたMIDIファイルは必要なく、この安全でない状態はチャンネル数の設定自体によって引き起こされます。synth.midi-channelsをデフォルト値の16に保つことで、脆弱性の対象となるパスを回避できます。本問題はバージョン2.5.6で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.