「LibreOffice」にヒープバッファーオーバーフローの脆弱性、v26.2.6/26.8.1で修正済み

「LibreOffice」の脆弱性情報

　The Document Foundationは11月5日、オープンソースのオフィスソフト「LibreOffice」で1件の脆弱性を修正したと発表した。本脆弱性はAnthropicがエージェントを使ってオープンソースプロジェクトのセキュリティを調査するなかで「Claude」が発見し、Ada Logics社が検証・報告したもの。「TrendAI Zero Day Initiative」と協力する匿名の研究者からも報告されている。

　本脆弱性は、「LibreOffice」に含まれるdBASEデータベースドライバーの欠陥。dBASEファイルのフォルダーをデータソースとして使う場合、dBASEのテーブルとそのインデックスファイル（.ndx）が読み込まれるが、インデックスのページを読み込む際にヒープバッファーオーバーフローが発生していたという。また、細工されたインデックスでページが自分自身を参照するようにすると、読み込みが際限なく再帰してしまう問題もあった。

　本脆弱性は、「LibreOffice 26.2.6」および「LibreOffice 26.8.1」で修正済み。執筆時現在の最新版、「26.2.7」または「26.8.2」になっていれば問題はない。