2025年12月22日、オープンソースアプリケーションForgejo 13.0.3において、FreeBSD14オペレーティングシステム上で初めて検出されたセキュリティ脆弱性CVE 2025-68971（CVSS: 5.5/MEDIUM）が発見されました。この脆弱性により、Forgejoが添付ファイルのアップロードフラグメントを一時的に保存するために利用可能な全メモリを占有し、メモリ不足が発生してオペレーティングシステムが全システムアプリケーションとサービスを一斉に強制終了する事態を引き起こしました。オペレーティングシステムの全メモリが処理できるサイズを超える添付ファイルが任意のユーザーによってアップロードされると、OSはすべてのサービスとアプリケーションを強制終了し、ランタイムを再起動する以外に選択肢がありません。強制終了の対象には、ランタイムグラフィカルユーザーインターフェースやXOrg、LXQtデスクトップマネージャ、Nginxリバースプロキシサーバ、SSHサーバなどのネットワークサービスが含まれますが、これらに限定されません。その結果、予期しないプログラム終了によるデータ損失やデータ破損が発生します。
2026年1月16日、Forgejoセキュリティチームはバージョン14.0.0でセキュリティ脆弱性の対策をパッチ適用し、2026年3月11日までにバージョン14.0.0、14.0.1、14.0.2のすべてがテストされ、脆弱性が修正されたことが確認されました。結論として、一般ユーザーはこの脆弱性を軽減するためにForgejoをバージョン14.0.2以上にアップグレードする必要があります。
以上です。それ以外に、このレポートは脆弱性とその対策データを、アーカイブおよび教育目的のみのために詳述したものです。
最新版のレポートについては、Releasesセクションを参照してください。
コンテンツをビットレベル（0|1）での不正な改ざんから保護するため、コンテンツは以下のような1つ以上の暗号化ツールを使用して暗号署名されています（これらに限定されません）：
公開鍵と関連する証明書が添付されています。秘密鍵は主たる所有者のみが保持・管理します。コンテンツの整合性を検証するには：
.ascファイル）をダウンロードします。.gpg）をダウンロードします。$ gpg --no-default-keyring --keyring /path/to/public.gpg --verify /path/to/file.asc
.sig/.signファイル）をダウンロードします。.pem）をダウンロードします。$ openssl dgst -verify /path/to/pubkey.pem -signature /path/to/file.sig /path/to/file
本方針は、プロジェクトにおける人工知能の使用に関するポリシーを定義します。以下のセクションでは、データライフサイクル活動を列挙し、A.I.が展開されているかどうかを示します。明示的に別途記載されていない限り（例：具体的な展開）、これらのタスクにはA.I.は使用されません。
[!Note]
活動例：
- A.I.スロップコンテンツによる検索エンジン汚染のため、拡張ウェブ検索を実行。
- 画像、動画、音声など（これらに限定されない）完全自動生成メディアを実行。
[!Note]
活動例：
- マルチステッププロセス開発の実行。
- データクレンジングやデータ重複排除などのデータサニタイゼーションの実行。
- データ形式互換性変換の実行。
- データ処理ライブラリの構築と最適化。
- 従来の画像操作技術では達成できないニューラルネットワークによる画像のアップスケーリング。
[!Note]
活動例：
- セキュリティと脅威検出の実行。
- 「保存データ」の暗号化とヘルスモニタリングの実行。
- 暗号化データストレージ管理の実行。
- 自動データストレージハウスキーピングの実行。
- データストレージデバイスのヘルスモニタリングと対策の実行。
[!Note]
活動例：
- マルチステップデータ分析の実行。
- パターン検出と認識の実行。
- 予測モデリングの開発。
- 自然言語クエリモデルの開発。
- データフィードに基づく人工知能のニューラルネットワークモデルの作成。
- 人工知能の転移学習、ハイパーパラメータチューニングなどの最適化。
[!Note]
活動例：
- エンドユーザーユースケースシミュレーションテストの実行。
- 自動化された健全性テストの実行。
- 侵入・セキュリティテストの実行。
- 異常検出テストの実行。
- スキーマ検証の実行。
- データパイプラインの自動テストの実行。
[!Note]
活動例：
- データフィードに基づくデータグラフィカル可視化の作成。
- グラフィカルデザインとデータフィードによる要約ダッシュボードの作成。
- レポート作成の実行。
- 予測プロジェクションの実行。
[!Note]
活動例：
- 個人識別情報（PII）のフィルタリングと削除の実行。
- 規制コンプライアンスチェックの実行（例：法律で要求されるデータフィルタリング、検閲、削除）。
- コンプライアンスモニタリングと検証の実行。
- データリネージュの追跡と分析の実行。
- データ監査証跡分析の実行。
[!Note]
活動例：
- ドキュメントのメタデータ作成の実行。
- ドキュメント翻訳の実行。
- データ公開ライセンスと管理の処理。
git-lfsを使用しないでください。さまざまなgitサービスプロバイダーの曖昧で一貫性のないストレージ割り当てポリシーのためです。
CREATORS.txtまたはCONTRIBUTORS.txtについて：
CREATORS.txtは、著作者、主任設計者、主任エンジニアなど、プロジェクトの著作権を責任持ち所有する法的実体です。CONTRIBUTORS.txtは、プルリクエストコントリビューター、キュレーター、筆記者など、プロジェクトに貢献するがプロジェクトの著作権を直接所有しない法的実体です。CREATORS.txtのエンティティは、統一されたコントリビューターリストとしてここに追加できます。LICENSE.txtについて
The ABC Project Team）を適切に更新します。形式はCREATORS.txtおよびCONTRIBUTORS.txtと同じです。
このリポジトリ全体は、Creative Commons Attribution-NoDerivatives 4.0 International Licenseの下でライセンスされています。このライセンスの理解を深めるために、以下のサブセクションではコンテンツの展開方法について簡単に説明します。
登録された非営利団体（NGO）の場合、デフォルトでは営利組織と同様にCommercial Entityと見なされます。ただし、NGO向け助成金の対象となり、作成者から特例の特権を受け取る資格があります。
書面で別途指定されない限り、作成者に次のように帰属する必要があります：
Title: CVE 2025-68971
Creators: (Holloway) Chew, Kean Ho
Packaged-By: (Holloway) Chew, Kean Ho
Contact: [email protected]
SKU: chewkeanho-research-cve-2025-68971
UUID: D44E82C4-7EEF-436A-85FD-883062554B67
DOI: 10.5281/zenodo.18932933
CVE: CVE-2025-68971
License: Creative Commons Attribution-NoDerivatives 4.0 International License (https://creativecommons.org/licenses/by-nd/4.0)
Repository Made On: 2026-03-10
Repository Made From: Malaysia, South East Asia
Procure: https://doi.org/10.5281/zenodo.18932933
[!NOTE]
これは、コンテンツのコピーを所有し、それを第三者と共有せずに自分だけで使用することを希望する顧客を対象としています。また、以下のような金銭的意図がない場合（これらに限定されません）：
- ローカルコピーを保存し、自分のモバイルデバイスで閲覧する。または
- ローカルコピーを保存し、自分のパーソナルコンピュータで閲覧する。または
- 人工知能データトレーニング目的でローカルコピーを保存する。
ライセンスの帰属に厳密に従うことを条件に、許可されます。
[!NOTE]
これは、コンテンツのコピーを所有し、それを第三者と共有せずに自分だけで使用することを希望する顧客を対象としています。また、以下のような金銭的意図がある場合（これらに限定されません）：
- 自社の調達リストを強化するためにローカルコピーを保存する。または
- 商用人工知能データトレーニング目的でローカルコピーを保存する。
ライセンスの帰属に厳密に従うことを条件に、許可されます。
[!NOTE]
これは、元のコンテンツの一部を直接表示せずに、元のコンテンツを入手するためのガイドを第三者に提供したい顧客を対象としています。また、以下のような金銭的意図がない場合（これらに限定されません）：
- 学術研究や論文作成。または
- 元のコンテンツを一切表示せずに、自分のストリーミングプラットフォームのために元のコンテンツにリンクする新しいコンテンツ作成。または
- 元のコンテンツを一切表示せずに、元のコンテンツにリンクするコンテンツ制作と収集。または
- 元のコンテンツを一切表示せずに、元のコンテンツにリンクするウェブポートフォリオプロジェクト。または
- 元のコンテンツを一切表示せずに、元のコンテンツにリンクするイベント資料。または
- 元のコンテンツを一切表示せずに、元のコンテンツにリンクする会議資料。または
- 元のコンテンツを一切表示せずに、元のコンテンツにリンクする広告コンテンツ。
ライセンスの帰属に厳密に従うことを条件に、許可されます。
[!NOTE]
これは、元のコンテンツの一部（すべてではない）を直接表示し、元の意図、アートディレクション、メッセージを維持したまま、そのまま、または編集や変更を加えずに自分のコンテンツ制作に組み込みたい顧客を対象としています。また、以下のような金銭的意図がない場合（これらに限定されません）：
- 自分のストリーミングプラットフォーム用の新しいコンテンツ作成で、元のコンテンツの一部を表示する（金銭的利益なし）。または
- 元のコンテンツの一部を表示するコンテンツ制作と収集（金銭的利益なし）。または
- 元のコンテンツの一部を表示するウェブポートフォリオプロジェクト（金銭的利益なし）。または
- 元のコンテンツの一部を表示するイベント資料（金銭的利益なし）。または
- 元のコンテンツの一部を表示する会議資料（金銭的利益なし）。
ライセンスの帰属に厳密に従うことを条件に、許可されます。
[!NOTE]
これは、元のコンテンツの一部（すべてではない）を直接表示し、元の意図、アートディレクション、メッセージを維持したまま、そのまま、または編集や変更を加えずに自分のコンテンツ制作に組み込みたい顧客を対象としています。また、以下のような金銭的意図がある場合（これらに限定されません）：
- 自分のストリーミングプラットフォーム用の新しいコンテンツ作成で、元のコンテンツの一部を表示する。または
- 元のコンテンツの一部を表示するコンテンツ制作と収集。または
- 元のコンテンツの一部を表示するウェブポートフォリオプロジェクト。または
- 元のコンテンツの一部を表示するイベント資料。または
- 元のコンテンツの一部を表示する会議資料。または
- 元のコンテンツの一部を表示する広告資料。
ライセンスの帰属に厳密に従うことを条件に、許可されます。
[!NOTE]
これは、元のコンテンツを所有し、元の意図、アートディレクション、メッセージを保存または変更しながら広範囲に修正して、新しいコンテンツ作成を構成したい顧客を対象としています。また、以下のような金銭的意図がない場合（これらに限定されません）：
- 自分のストリーミングプラットフォーム用に、デジタル加工・処理された元のコンテンツを統合した新しいコンテンツ作成（広告コミッションを含む一切の利益なし）。または
- 自分のストリーミングプラットフォーム用に、デジタル加工・処理された元のコンテンツを統合した個人用コンテンツ制作と収集（広告コミッションを含む一切の利益なし）。または
- 自分のストリーミングプラットフォーム用に、デジタル加工・処理された元のコンテンツを統合した個人用ウェブポートフォリオプロジェクト（広告コミッションを含む一切の利益なし）。または
- 自分のストリーミングプラットフォーム用に、デジタル加工・処理された元のコンテンツを統合したソーシャルメディアミームコンテンツ作成（広告コミッションを含む一切の利益なし）。
ライセンス制限のため、許可されません。
[!NOTE]
これは、元のコンテンツを所有し、元の意図、アートディレクション、メッセージを保存または変更しながら広範囲に修正して、新しいコンテンツ作成を構成したい顧客を対象としています。また、以下のような金銭的意図がある場合（これらに限定されません）：
- 自分のストリーミングプラットフォーム用に、デジタル加工・処理された元のコンテンツを統合した新しいコンテンツ作成。または
- 自分のストリーミングプラットフォーム用に、デジタル加工・処理された元のコンテンツを統合した個人用コンテンツ制作と収集。または
- 自分のストリーミングプラットフォーム用に、デジタル加工・処理された元のコンテンツを統合した個人用ウェブポートフォリオプロジェクト。または
- 自分のストリーミングプラットフォーム用に、デジタル加工・処理された元のコンテンツを統合したソーシャルメディアミームコンテンツ作成。
ライセンス制限のため、許可されません。
[!NOTE]
これは、元のコンテンツ、修正されたコンテンツ、または派生コンテンツを共有、放送、再配布、販売、または再販したい顧客を対象としています。また、以下のような金銭的意図がない場合（これらに限定されません）：
- 家族との共有。または
- プライベートビューアーアクセス付きのストリーミングプラットフォームでのコンテンツストリーミング。または
- プライベートに招待されたゲストを対象としたギャラリーでのコンテンツ表示。または
- リビングルームなどのプライベートな無料入場スペースでのコンテンツ表示。または
- 元のコンテンツのコピーを所有し、プライベートネットワーク（例：自家ホストのホームネットワーク）上のウェブサイトでダウンロード可能なコンテンツとして提供する。または
- ソーシャルメディアやメッセージングアプリ（メールやインスタントメッセンジャーなど）での元のコンテンツの共有。
ライセンスの帰属に厳密に従うことを条件に、許可されます。
[!NOTE]
これは、元のコンテンツ、修正されたコンテンツ、または派生コンテンツを共有、放送、再配布、販売、または再販したい顧客を対象としています。また、以下のような金銭的意図がある場合（これらに限定されません）：
- パブリックまたはプライベートのビューアーアクセスを伴うストリーミングプラットフォームでのコンテンツストリーミング。または
- 無料または有料のゲスト招待による企業の公開イベントでのコンテンツ表示。または
- 無料または有料のゲスト招待による企業の内部/プライベートイベントでのコンテンツ表示。または
- 元のコンテンツのコピーを所有し、任意のネットワーク（インターネット、イントラネット、プライベートネットワーク）上のウェブサイトで無料または有料のダウンロード可能コンテンツとして提供する。または
- ソーシャルメディアやメッセージングアプリ（メールやインスタントメッセンジャーなど）での元のコンテンツの共有。または
- 複数の収益を得るストリーミングプラットフォームを介した元のコンテンツの配布。
ライセンスの帰属に厳密に従うことを条件に、許可されます。
.svgから.pngや.jpg）。.svgプレーンベクターファイルのエクスポート。