CVE-2026-48813

概要

Flawfinder は、C/C++ ソースコードの脆弱性を発見するための静的解析ツールです。2.0.20 より前のバージョンには、入力の中和処理の不備により出力操作が可能となる問題があり、具体的にはターミナル/ANSI エスケープシーケンスインジェクションおよび XML インジェクションが発生します。ANSI エスケープシーケンスを含む名前の悪意のあるファイルが、flawfinder の標準ターミナル出力に含まれる可能性があり、さまざまな影響を及ぼします。構造化レポートの生成時に、信頼できないフィールド（ファイル名、カテゴリ、コードコンテキストテキストなど）が適切にサニタイズされていませんでした。攻撃者はこれを悪用して、CSV 形式を破壊したり、output_sonar() を介して SonarQube の出力に任意の XML 属性を注入したりする可能性がありました。これは、意図的に悪意のあるファイル名やファイル内容を評価するために flawfinder を使用しているユーザーに影響します。この問題は、バージョン 2.0.20（2026-05-16 リリース）で完全に修正されています。flawfinder の旧バージョンには、設定ベースの回避策はありません。直ちにアップグレードできない場合、ユーザーはファイル名の事前スキャン、生出力の検査、および/または信頼できない入力の制限によってリスクを軽減できます。

• CVE-2026-48813-POCPoC

  Flawfinderのスキャン結果を隠す悪意のあるファイル名を介したターミナルエスケープシーケンスインジェクションの概念実証エクスプロイト。バージョン2.0.20で修正されました。