JVN iPediaは2026年10月16日、ImageMagickの脆弱性「CVE-2026-102635」を掲載しました。悪意あるGIFの処理によって、機密情報が漏れる恐れがあります。対象バージョンの境界は概要と影響対象欄で記載が異なるため、利用版を確認する際は、境界に当たる版も安全と即断しないことが重要です。
GIFの処理でメモリの内容が画像メタデータに
問題があるのは、ソースコード「coders/gif.c」にあるGIFデコーダのアプリケーション拡張ハンドラです。脆弱性の分類は、初期化されていないリソースの使用を示す「CWE-908」です。
JVNによると、悪意あるGIFを処理すると、数値を読み取る処理が、初期化されていないヒープメモリを読み取ります。ヒープメモリは、プログラムが処理中に使うメモリ領域です。その内容が画像に付随する情報であるメタデータに保存され、機密情報が漏れる恐れがあります。
脆弱性の深刻度を示すCVSS v3の基本値は、NVD評価で5.3、深刻度は「警告」です。同評価ではネットワーク経由の攻撃が可能で、攻撃条件の複雑さは低く、特権や利用者の関与は不要とされています。機密性への影響は低く、完全性と可用性への影響はないという評価です。
利用者の操作が必要という評価ではないため、確認対象を社員が手作業で画像を開く場面だけに絞らないことが大切です。社内でImageMagickを利用している処理について、GIFを受け取って処理する経路があるかを担当者に確認してください。
対象版の境界はベンダ情報で照合を
JVN iPediaの影響対象欄には、次の範囲が記載されています。
- ImageMagick 6.9.13-57未満
- ImageMagick 7.0.0-0以上7.1.2-32未満
一方、概要では「7.1.2-32以前」「6.9.13-57以前」とされています。「未満」はその版を含まず、「以前」はその版を含みます。このため、6.9.13-57と7.1.2-32の扱いが一致していません。
この記載だけを根拠に、境界に当たる2つの版を修正版と判断することはできません。JVNはベンダ情報を確認して適切な対策を実施するよう案内しており、参照先としてGitHubとVulnCheckのアドバイザリーを挙げています。更新先を決める際は、これらの情報と利用中の版を照合する必要があります。
影響する会社・しない会社
- 影響する: ImageMagick 6.9.13-57未満、または7.0.0-0以上7.1.2-32未満を使う会社です。該当する環境では、悪意あるGIFを処理する経路の確認を優先してください。
- 影響する: 6.9.13-57または7.1.2-32を使う会社も、確認対象に残してください。概要と影響対象欄の境界が異なるため、今回の資料だけでは対象外と判断できません。
- 影響しない: ImageMagickを利用していないことを確認できた会社は、今回の脆弱性の直接の対象ではありません。対象外となるOSや会社規模の条件は、掲載情報には書かれていません。
情シスが今日やること
- 本日の棚卸しで利用版を集める。 IT資産台帳や導入記録を確認し、ImageMagickの利用先とバージョンを一覧にしてください。開発・運用担当や委託先にも、担当システムでの利用有無と版の回答を依頼します。未確認の環境は対象外にせず、確認待ちとして残します。
- GIFの処理経路を担当者に確認する。 利用が見つかったシステムについて、GIFを受け取る箇所、ImageMagickで処理する箇所、処理後の画像やメタデータを扱う箇所を確認します。情報漏えいにつながる経路を調べるための作業として依頼してください。
- 更新先を決める前に境界を照合する。 JVNが案内するGitHubとVulnCheckのアドバイザリーで、対象範囲と対策を確認します。6.9.13-57と7.1.2-32については、記載の違いを解消できるまで「対応済み」と記録しないようにします。
- 確認結果と対応予定を共有する。 システム責任者と委託先に、該当版、GIF処理の有無、未確認事項を知らせてください。対策内容を確認したうえで適用予定を決め、実施後のバージョンも記録します。掲載情報には対応期限は書かれていないため、社内で確認期限と担当者を定めて進めます。
