毎朝 7:00 更新メールで受け取る
security トップ　／　過去の号　／　2026.11.01 の号
この日の一言2026.11.01

画像変換サーバー imgproxy の ICO 読み込み処理に整数オーバーフローがあり、細工した画像1枚でプロセス停止やリモートコード実行につながるおそれがあるとして重大の勧告が出ました。同じ ICO 処理で他に2件の高の勧告も出ているため、4.0.17 以降への更新をおすすめします。

11.01日曜日の朝
  1. Go細工した ICO 画像でヒープ破壊が起き、プロセス停止やリモートコード実行のおそれ
  2. JavaScriptresources API のパストラバーサルで JWT 署名鍵が漏れ、管理者なりすましとコマンド実行に至る
  3. JavaScript証明書チェーン検証の回避、PKCS#12 の MAC 偽造、TLS 処理のプロセス停止など5件
  4. Pythonトークン発行で、認証したクライアントと別の client_id の権限で認可されてしまう
  5. Python細工した ASN.1 データのデコードで CPU 時間が二乗で増えるサービス拒否4件
  6. JavaScriptstring().email({ multiple: true }) の分割処理でイベントループが数秒止まる
  7. JavaScript別 realm で作った sensitiveHeaders 配列が無視され、独自の認証ヘッダーがリダイレクト先に送られる
  8. Python検証エラーが上限を超えたクエリを送るたびにメモリが解放されず増え続ける
この号の脆弱性　全8件
Go2026.11.01重大

細工した ICO 画像でヒープ破壊が起き、プロセス停止やリモートコード実行のおそれ

github.com/imgproxy/imgproxy　整数オーバーフロー: 4.0.0〜4.0.15 / 範囲外書き込み: 3.3.0〜4.0.16 / メモリ枯渇: 3.3.0〜4.0.15　→　4.0.17（3件すべてを含む）

やること　imgproxy を 4.0.17 以降に更新してください。外部から受け取った画像を処理している環境は優先して対応してください。

GHSA-hff9-5pqw-6w9f・GHSA-494m-4556-wf5p・GHSA-mmq5-xm89-9pfg読む
JavaScript2026.11.01重大

resources API のパストラバーサルで JWT 署名鍵が漏れ、管理者なりすましとコマンド実行に至る

signalk-server / @signalk/resources-provider　signalk-server 2.0.0〜2.33.x / @signalk/resources-provider 1.0.0〜1.5.2　→　signalk-server 2.34.0 / @signalk/resources-provider 1.5.3

やること　signalk-server を 2.34.0 以降に、単体で使っている場合は @signalk/resources-provider を 1.5.3 以降に更新してください。

GHSA-4xm8-rg9h-jhq2読む
JavaScript2026.11.01高

証明書チェーン検証の回避、PKCS#12 の MAC 偽造、TLS 処理のプロセス停止など5件

node-forge　1.4.0 以前　→　1.4.1

やること　node-forge を 1.4.1 に更新してください。すぐ更新できない場合、PKCS#12 については pkcs12FromAsn1() に渡す前に MacData.iterations が 1 未満の入力を拒否する回避策が示されています。

GHSA-5x38-2vff-x55p・CVE-2026-119190・GHSA-jc66-7q78-782g・CVE-2026-118782・GHSA-hqq3-7jhf-c5jx・CVE-2026-119187・GHSA-8hrf-8g6f-7xwp・CVE-2026-119188・GHSA-7wch-p9px-956x・CVE-2026-118779読む
Python2026.11.01高

トークン発行で、認証したクライアントと別の client_id の権限で認可されてしまう

oauthlib　4.0.0 より前　→　4.0.0

やること　oauthlib を 4.0.0 以降に更新してください。

GHSA-7984-qgvg-3j9c・CVE-2026-118669読む
Python2026.11.01高

細工した ASN.1 データのデコードで CPU 時間が二乗で増えるサービス拒否4件

pyasn1　0.6.4 以前　→　0.6.5

やること　pyasn1 を 0.6.5 以降に更新してください。

GHSA-fm9c-5rcf-2q5p・CVE-2026-119194・GHSA-9m75-vc3g-4x39・CVE-2026-119195・GHSA-mm57-4v3p-rchx・CVE-2026-119197・GHSA-2qm8-x737-gmw5・CVE-2026-119196読む
JavaScript2026.11.01高

string().email({ multiple: true }) の分割処理でイベントループが数秒止まる

joi / @hapi/joi　joi 17.1.1〜17.13.8 / 18.0.0〜18.3.0 / @hapi/joi 16.0.0〜17.1.1　→　joi 17.13.9 / 18.3.1（@hapi/joi は未修正）

やること　joi を 17.13.9 または 18.3.1 以降に更新してください。@hapi/joi を使っている場合は joi への移行が必要です。

GHSA-4528-x5fx-h6hg・CVE-2026-118772読む
JavaScript2026.11.01高

別 realm で作った sensitiveHeaders 配列が無視され、独自の認証ヘッダーがリダイレクト先に送られる

follow-redirects　1.16.0〜1.16.1　→　1.16.2

やること　follow-redirects を 1.16.2 以降に更新してください。

GHSA-mrwp-f3q8-3g9p・CVE-2026-116689読む
Python2026.11.01高

検証エラーが上限を超えたクエリを送るたびにメモリが解放されず増え続ける

graphql-core　3.3.0a3〜3.3.0　→　3.3.1

やること　graphql-core を 3.3.1 以降に更新してください。

GHSA-mpqx-q82w-9x46・CVE-2026-119286読む