GitHub Advisory Databaseに、Twistedの通信処理でサービス停止を引き起こす脆弱性4件が掲載されています。IMAP4、IRC、telnet、XMLの処理が対象で、未認証の単一接続などからメモリを使い切らせる問題も含まれます。公表日は資料に記載されていません。
IMAP4は認証後に停止、IRCは未認証でも影響
メールを扱うIMAP4サーバーの「CVE-2026-115774」は、Twisted 26.4.0以前が対象です。受信データの解析で、データ長に負の値が指定されても拒否しないため、処理が終わらない無限ループに入る問題です。
勧告によると、認証済みの利用者がメールボックスを選択した後、検索用のSEARCH命令で停止を誘発できます。同じプロセスで動く他のサービスも停止し、復旧にはプロセスの再起動が必要です。メール機能だけの問題として扱わず、同じプロセスが担う業務も確認する必要があります。
チャット用のIRCサーバーの「CVE-2026-115776」も、Twisted 26.4.0以前が対象です。受信データを改行までためる処理に、長さの上限とタイムアウトがありません。
未認証の単一接続から改行のないデータを送り続けることで、メモリを枯渇させられるとしています。プロセスが停止すると全利用者の接続が切れ、サービスの再起動が必要になります。
telnetとXMLは、信頼できない入力を受ける構成を確認
端末接続に使うtelnetの通信処理にある「CVE-2026-115778」は、Twisted 26.4.0で影響が確認されています。通信条件をやり取りするサブネゴシエーション処理で、終端まで保持するデータ量に上限がありません。
未認証の単一接続から終端を送らずにデータを流し続けると、メモリを枯渇させられます。対象は、信頼できない相手にTwistedのtelnetやmanholeの通信処理を公開する環境です。
XML要素を連続して読み取る処理の「CVE-2026-115775」も、Twisted 26.4.0で影響が確認されています。要素の入れ子の深さや子要素数に上限がなく、閉じていないコンテナの下に要素が蓄積します。未認証の単一ストリームから子要素を送り続けることで、メモリを枯渇させられます。
対象は、XMPPサーバーなど、この処理系で信頼できないXMLストリームを解析する環境です。telnetとXMLの2件について、26.4.0以外の影響範囲は資料に書かれていません。
日本での提供は発表には書かれていません。また、今回の資料には修正版の番号や提供時期も記載されていません。26.4.0を更新先と判断しないことが重要です。
影響する会社・しない会社
- 影響する: Twisted 26.4.0以前のIMAP4サーバーまたはIRCサーバーを使う会社です。IMAP4の停止には認証後の操作が条件となる一方、IRCは未認証の接続でも影響を受けます。
- 影響する: Twisted 26.4.0で、信頼できない相手にtelnetやmanholeを公開する会社、または該当するXML処理系で信頼できない入力を解析する会社です。
- 影響しない: Twistedを利用していないことを確認できた会社は、今回の4件の対象ではありません。ただし、Twistedを使う環境について、影響しない版の範囲は資料に書かれていません。
