pypdfに無限ループ・メモリ使い切りの欠陥5件 受け取ったPDFの処理は6.21.2へ

PythonでPDFを読み書きするライブラリ「pypdf」の欠陥5件が、10月21日にGitHubの勧告のデータベースに載りました。細工したPDFを読ませると、処理が終わらなくなったり、メモリを使い切ったりするものです。請求書の読み取り、AIへの文書の取り込み、ファイルの変換など、社外から受け取ったPDFを自動で読む仕組みで使われていることがあります。修正版はすでに出ています。

10月21日に載った5件

勧告はどれも、攻撃者が細工したPDFを用意することを前提にしています。CVE-2026-113792と113793は、目次を探したり消したりする特定の機能を使ったときだけ起きます。影響は、処理が止まる・資源を使い切る(可用性)に限られ、情報が漏れることは挙げられていません。

pypdfは10月1日にも、長い処理時間やメモリの大量使用につながるHighの5件(CVE-2026-102996〜103000、6.18.1・6.19.0で修正)を公表しています。秋に入って、同じ型の修正が続いています。

最新は6.21.2、セキュリティの修正も

pypdfは10月21日に6.21.2を出しました。リリースノートには、セキュリティの修正として、ファイルを何度も丸ごと読み込み直すのを避ける修正と、相互参照の表の大きさに上限を設ける修正が書かれています。この2つは、10月22日朝の時点で、勧告としては載っていません。

6.21.1では、PDFの中のJPEGの画像を、Pillowという画像のライブラリのJPEGの部品だけで開くように変えています(CVE-2026-113786の修正)。pypdfはPDFから画像を取り出すときなどにPillowを使うため、Pillowの更新もあわせて確かめます。Pillowも10月に、受け取った画像で起きる欠陥を多く直しています(Pillow 13.0.0でセキュリティ修正38項目 JPEGに重大な欠陥)。

影響する会社・しない会社

• 影響する: 社外から受け取ったPDFを、Pythonの仕組みで自動で読んでいる会社です。請求書や申込書の読み取り、文書の検索やAIへの取り込み、ファイルの変換の仕組みなどが当たります。
• 影響する: PDFを扱う社内の道具や、購入した製品の中でpypdfが使われている会社です。直接入れた覚えが無くても、ほかのライブラリが使っていることがあります。
• 影響しない(少ない): 自社で作ったPDFだけを扱い、社外のファイルを読まない仕組みです。ただし、版は上げておくに越したことはありません。

情シスが今日やること

1. pypdfを使う仕組みを洗い出す。 開発の担当に、PythonでPDFを扱う仕組みを挙げてもらい、依存しているライブラリの一覧(requirements.txt、poetry.lockなど)でpypdfの版を確かめます。
2. 6.21.2以降に上げる。 5件は6.21.1までで直っていますが、6.21.2にも修正があるため、6.21.2以降に上げます。画像を扱う場合は、Pillowも13.0.0以降に上げます。
3. 処理に時間と量の上限をかける。 受け取ったPDFを読む処理に、1件あたりの時間の上限とメモリの上限をかけ、超えたら止めて次の書類に進む作りにします。1つの細工したファイルで、全体が止まるのを防げます(当社の見立て)。
4. 購入した製品は、提供元に聞く。 PDFを読む機能を持つ製品で、中にpypdfが使われているかと、更新の予定を、提供元に問い合わせます。