CVE-2026-18220

概要

GNU binutils の BFD ライブラリの DLX ELF バックエンド (`bfd/elf32-dlx.c`) に、領域外書き込みの脆弱性が見つかりました。`dlx_rtype_to_howto()` 関数は、ELF 再配置タイプを内部の howto 構造体にマッピングしますが、`dlx_elf_howto_table[]` 配列へのインデックス処理を行う前に、攻撃者が制御する再配置タイプ値 (`ELF32_R_TYPE(r_info)` 経由) に対して十分な境界チェックを行いません。DLX 再配置タイプの番号空間は連続していません (基本タイプは 0〜6、拡張タイプは 0x10000+)。しかし、switch 文のデフォルトケースにより、任意のインデックス値が配列アクセスに到達できてしまいます。特別に細工された ELF/DLX オブジェクトファイルは、BFD を使用する任意のツール (objdump、readelf、strip、ld、nm、objcopy) で処理されると、この領域外書き込みを引き起こす可能性があります。この脆弱性は、glibc の FILE 構造体 (stderr) に対する File Stream Oriented Programming (FSOP) 攻撃を介して任意のコード実行を達成し、制御フローを `system()` にリダイレクトできることが実証されています。攻撃シナリオには、自動バイナリ解析を実行する CI/CD パイプライン、信頼できないバイナリに対して objdump/readelf を実行する開発者ワークステーション、binutils を呼び出す自動セキュリティスキャンやマルウェア解析ツール、サードパーティコードを処理するパッケージビルドシステムなどが含まれます。注: この脆弱性は、binutils が DLX バックエンドを有効にしてビルドされている場合にのみ悪用可能です (通常は `--enable-targets=all` による)。

• objdump-Out-Of-Bounds-writeエクスプロイト

  CVE-2026-18220を実証するProof of Concept（PoC）：GNU binutilsのDLX ELF backendにおけるout-of-bounds（OOB）書き込み脆弱性（特に`objdump -g`によってトリガーされる）