OYEKANMI OLUWATUNMISE JOSEPH

RUN/CYB/23/15421

CVE-2026-77680 — セキュリティ分析

評価: 中程度の深刻度 · CVSS v3.1: 5.3 · 主な影響: 可用性 (CPU 枯渇 / サービス拒否)

このリポジトリは、libsoup の HTTP Range ヘッダー処理におけるアルゴリズム複雑性の欠陥である CVE-2026-77680 について、技術的な挙動、リスク、緩和策、およびサイバーキルチェーンへのマッピングを文書化したものです。

エグゼクティブサマリー

CVE-2026-77680 は、libsoup の HTTP Range 統合ロジックにおけるサービス拒否 (DoS) 脆弱性です。影響を受けるバージョンでは、多数の繰り返された、満たすことのできるバイト範囲を処理すると、二次関数的な処理量が発生する可能性があります。この問題は、以前の CVE-2025-32907 の修正後も残存しています。統合コードが依然として配列要素を個別に削除しており、削除のたびに残りの要素がメモリ内で移動する可能性があるためです。

リモートの未認証の攻撃者が、影響を受ける SoupServer の経路を使用するサーバーアプリケーションに細工された HTTP リクエストを送信する可能性があります。脆弱な条件下では、リクエスト処理が不釣り合いな CPU 時間を消費し、他のリクエストを遅延させる可能性があります。報告されている影響は可用性のみであり、この問題はメモリ破壊や情報漏えいとして記述されていません。

上流の修正では、繰り返しの要素削除をインプレースの線形時間圧縮に置き換え、200 を超える範囲を要求する Range ヘッダーを拒否します。運用担当者は、境界防御の回避策だけに頼るのではなく、適切なベンダーのセキュリティ更新をインストールすべきです。

脆弱性の詳細

項目	詳細
CVE	CVE-2026-77680
コンポーネント	GNOME libsoup (HTTP ライブラリ)
弱点	CWE-407 — 非効率的なアルゴリズム複雑性
深刻度	中程度
CVSS v3.1	5.3
CVSS ベクター	`CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L`
攻撃の前提条件	影響を受けるサービスへのネットワークアクセス。認証やユーザー操作は不要
主な影響	CPU 枯渇およびサービスの可用性低下
関連する問題	CVE-2025-32907
上流の修正	GNOME libsoup マージリクエスト !550

技術的説明

HTTP バイト範囲リクエストにより、クライアントはリソースの選択された部分を要求できます。脆弱なコード経路では、libsoup が重複または重なり合う範囲を統合します。連続した GArray の中央から要素を削除すると、残りの要素をシフトする必要が生じる場合があります。多数の範囲を処理する際にこの操作を繰り返すと、線形の処理量ではなく O(n²) の処理量が発生する可能性があります。

報告されているサーバー側の経路には、libsoup/server/http1/soup-server-message-io-http1.c の handle_partial_get() が含まれ、範囲の解析/統合は libsoup/soup-message-headers.c の soup_message_headers_get_ranges_internal() で行われます。この問題は、アプリケーションが影響を受けるサーバー経路を使用し、空でないボディを持つ適切なレスポンスを返す場合に関係します。

範囲の数は、十分に低い範囲数上限ではなく、リクエストヘッダーの制限によって制約される可能性があります。その結果、単一のリクエストが過剰な処理を引き起こす可能性があり、繰り返しのリクエストによって可用性への影響が増幅される可能性があります。正確な影響は、デプロイされたバージョン、リクエスト制限、アプリケーションの挙動、およびサーバーの容量に依存します。

CVSS の解釈

公開されている CVSS v3.1 スコアは 5.3 (中程度) です。

AV:N — ネットワーク: リクエストはネットワーク経由で送信できます。
AC:L — 低: スコアには異常な前提条件は反映されていません。
PR:N — なし: 認証は不要です。
UI:N — なし: 被害者は操作を行う必要がありません。
S:U — 変更なし: 影響は脆弱なコンポーネントのセキュリティ権限内にとどまります。
C:N / I:N — なし: 機密性または完全性への影響はスコアに含まれていません。
A:L — 低: 可用性への影響は低としてスコア付けされています。

中程度の基本スコアは、この問題を無視してよいという意味ではありません。インターネットへの露出、共有インフラストラクチャ、および繰り返しのリクエストにより、サービスの可用性は運用上重要になる可能性があります。

攻撃対象領域とリスク

リスクにさらされる資産

影響を受ける libsoup のサーバー機能上に構築された Web サービスの可用性。
アプリケーションの応答性とイベントループの処理能力。
影響を受けるアプリケーションの応答性維持に依存するサービス。
サービスレベル目標および正当なコンテンツへのユーザーアクセス。

前提条件と露出チェック

libsoup を含むアプリケーションとホストを特定する。
インストールされているパッケージのバージョンとベンダーのセキュリティ状況を確認する。下流のベンダーは、同じアップストリームのバージョン番号に変更せずに修正をバックポートする場合がある。
アプリケーションが該当するサーバー側の HTTP Range 処理パスを公開しているか確認する。
リクエストヘッダーの制限、レート制限、リバースプロキシの動作、および CPU 飽和や異常に高コストな Range リクエストの監視を確認する。

libsoup の存在だけから脆弱性を推測してはならない。特定のパッケージビルドと修正が適用されているかどうかを確認すること。

サイバーキルチェーン分析

Lockheed Martin のサイバーキルチェーンは侵入志向のモデルである。このマッピングでは、その各段階をサービス拒否シナリオに適応させている。すべての段階がこの脆弱性にとって個別または必須のステップを表すわけではない。

段階	このシナリオで考えられる活動	防御の機会
1. 偵察	到達可能なアプリケーションを特定し、その HTTP スタックや挙動を推測する。	不要な露出を減らす。資産とソフトウェアのインベントリを維持する。不要なバージョン情報の開示を避ける。
2. 兵器化	過剰な数の重複またはオーバーラップする Range 値を含む HTTP リクエストを準備する。	ライブラリにパッチを適用する。Range の数を検証して上限を設ける。安全なリクエスト解析の制限を適用する。
3. 配送	細工したリクエストを公開されたサービスに送信する。	ネットワーク制御、リバースプロキシの保護、接続制限、リクエストレート制御を使用する。
4. 悪用	脆弱なサーバーパスで高コストな Range の結合処理を引き起こす。	ベンダー/アップストリームの修正を展開する。高コストな処理の前に過剰な Range を拒否する。
5. インストール	通常は該当しない。これはリソース枯渇の欠陥であり、それ自体がマルウェアをインストールするものではない。	後続の活動を監視する。サービスの中断がホストの侵害を意味すると仮定しない。
6. コマンドアンドコントロール	基本的な DoS 動作には不要である。ボットネットやリモートコントローラーを使って繰り返しトラフィックを調整することは可能だが、それはこの CVE に本質的なものではない。	送信元をまたいでトラフィックを相関分析する。適切な場合には上流の DDoS 対策を適用する。
7. 目的に対する行動	応答時間を低下させ、正当なユーザーのサービスアクセスを拒否する。	可用性と CPU を監視する。ログを保全する。インシデント対応および復旧手順を適用する。

想定されるセキュリティ上の結果

主な結果はサービスの劣化またはサービス拒否であり、コード実行ではない。この区別はトリアージにおいて重要である。可用性の制御とパッチ適用を優先しつつ、別個の侵害指標がないかログとテレメトリも確認すること。

修復と対応計画

優先度 1 — パッチ

アップストリームのマージリクエスト !550に対応する修正を含むベンダーパッケージにアップグレードする。
オペレーティングシステムまたはディストリビューションがサポートするパッケージとアドバイザリの指示に従う。
更新後にインストールされたパッケージのビルドとセキュリティ状況を確認する。ベンダーがパッチをバックポートしている場合、バージョン文字列だけに依存してはならない。

優先度 2 — パッチ適用完了までの緩和

可能な場合は、影響を受けるサービスへのネットワークアクセスを制限する。
リバースプロキシまたは HTTP フロントエンドを設定し、過剰な Range 値がアプリケーションに到達する前に拒否または制限する。
妥当なリクエストヘッダーサイズ制限、接続制限、レート制限を適用する。
CPU 使用率、イベントループのレイテンシ、リクエストレート、および異常な Range ヘッダーのパターンを監視する。

これらの制御は露出を減らすが、修正のインストールに代わるものではない。

優先度 3 — 検出と調査

Web サーバー、プロキシ、アプリケーションのログを確認し、異常に大きな、または繰り返しの Range ヘッダーやリクエストの急増を調べる。
疑わしいリクエストパターンを、CPU スパイク、レイテンシの増加、ヘルスチェックの失敗と関連付ける。
インシデント分析のために、関連するログとタイムスタンプを保存する。
高い CPU 使用率の事象のみを悪用の証拠と見なさず、複数のシグナルを関連付ける。

優先度 4 — 復旧の検証

関連するベンダーアドバイザリに従って、パッケージにパッチが適用されていることを確認する。
デプロイ後の通常のレイテンシ、CPU 使用率、エラー率を検証する。
保護用のリクエスト制限が有効であり、正当な range リクエストを不必要に妨げていないことを確認する。
影響を受けた資産、修復日、パッケージバージョン、残存リスクを記録する。

推奨されるセキュリティ要件

境界付きパース: 防御可能な HTTP range の最大数を強制し、コストの高い処理の前に過剰な入力を拒否する。
予測可能な計算量: range のマージおよび関連するパース処理が、線形またはその他の有界な計算量であることを保証する。
多層的なリクエスト制御: アプリケーションとエッジにおいて、適切なヘッダーサイズ、接続、レート制限を適用する。
パッチガバナンス: 公開サービスが使用するサードパーティライブラリについて、アップストリームおよびベンダーのアドバイザリを追跡する。
運用監視: 可用性の低下や異常なリクエストパターンに対してアラートを発し、調査に十分なログを確保する。

参考情報とアドバイザリ

環境にデプロイされている正確なオペレーティングシステムとパッケージビルドについては、ベンダーのアドバイザリを参照してください。

対象範囲と免責事項

本文書は、公開されている脆弱性アドバイザリおよびアップストリームの参考情報に基づく防御的なセキュリティ分析です。エクスプロイトや概念実証ではありません。製品の適用可否およびパッチ適用状況は、対象環境における正確なソフトウェアビルドとベンダーアドバイザリに照らして確認する必要があります。

脆弱性管理、脅威分析、防御的セキュリティ学習のために作成。

CVE-2026-77680-Security-Analysis

人気