JVN#76719218    
GNU Libmicrohttpd における複数の脆弱性

GNU Projectが提供するGNU Libmicrohttpdには、複数の脆弱性が存在します。

• GNU Libmicrohttpd v1.0.2 およびそれ以前

本脆弱性は、広く利用されているlibmicrohttpd.soではなく、--enable-experimentalオプションを有効にしてビルドした際に生成されるlibmicrohttpd_ws.soに存在します。

なお、libmicrohttpdのGitリポジトリのmasterブランチにおいて、v1.0.2タグより後のcommit: ff13abcコミットまでのソースコードには本脆弱性が残存していることに留意してください。

GNU Projectが提供するGNU Libmicrohttpdには、次の複数の脆弱性が存在します。

• NULLポインタ参照（CWE-476）
  • CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N 基本値 8.7
  • CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H 基本値 7.5
  • CVE-2025-59777
• ヒープベースのバッファオーバーフロー（CWE-122）
  • CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N 基本値 8.7
  • CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H 基本値 7.5
  • CVE-2025-62689

不正に細工されたパケットを送信されることににより、当該システムがサービス運用妨害（DoS）状態にされる可能性があります。

libmicrohttpd_ws.soの利用を停止する
libmicrohttpd_ws.soは実験的に導入されたライブラリのため、利用している場合は利用を停止してください。

ベンダ	リンク
GNU Project	GNU Libmicrohttpd
	commit ff13abc: remove broken experimental code

この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方がIPAに報告し、JPCERT/CCが開発者との調整を行いました。
報告者：三井物産セキュアディレクション株式会社 安松達彦 氏