CERT/CCは2026年4月2日、ArtifexのMuPDFに整数オーバーフロー脆弱性があるとして VU#951662 を公開しました。対象は MuPDF 1.27.0 までのバージョンで、CVEは CVE-2026-3308 です。細工されたPDFを読み込ませることで整数オーバーフローが発生し、結果としてヒープ領域の範囲外書き込みにつながるおそれがあるとされています。
概要
CERT/CCによると、問題の中心は pdf_load_image_imp にあります。この関数は画像デコード前に幅 w、高さ h、ビット深度 bpc といった値を処理し、必要なメモリ量を決めますが、従来の実装では SIZE_MAX を基準に妥当性を見ていた一方、後続のストライド計算は整数型ベースで行われていました。そのため、極端に大きい値が入ると整数オーバーフローを十分に防げず、実際に必要なサイズより小さいバッファが確保される余地がありました。
その結果、CERT/CCは fz_unpack_stream が画像サンプル展開時に確保済みヒープバッファの外側へ書き込むと説明しています。つまり、表面的にはPDF画像デコード中の異常ですが、本質はサイズ計算の破綻によってヒープ破壊が起きる点にあります。PDFの通常解析中に到達する処理経路で発火するため、信頼できないPDFを自動処理したり表示したりする環境では影響が大きくなります。
脆弱性の対象バージョン
対象バージョンは、CERT/CCの記載では MuPDF 1.27.0 以下です。
CERT/CCは versions up to and including 1.27.0 と明記しており、少なくとも 1.27.0 までは影響を受ける前提で扱う必要があります。
対策バージョン
MuPDF 1.27.1以上が対策バージョンになります
関連記事
欧州委員会（EC）のAWS環境へ不正アクセス、原因は「Trivy」へのサプライチェーン攻撃
n8nで複数の重大な脆弱性、大規模スキャンも観測(CVE-2026-25049,CVE-2026-21858)
Node.js向けbinary-parserにコードインジェクション 脆弱性(CVE-2026-1245)
人気のJavaScript ライブラリ「expr-eval」にリモートコード実行の致命的な脆弱性(CVE-2025-12735)
Vivotek(ビボテック)製 Webカメラ「IP7137」に複数の深刻な脆弱性
PostgreSQL、5つの重大な脆弱性を修正(CVE-2026-2004,CVE-2026-2005,CVE-2026-2006,CVE-2026-2007,CVE-2026-2003)
Keycloak、危険な脆弱性を含む4件を修正(CVE-2026-3047、CVE-2026-3009、CVE-2026-2603、CVE-2026-2092)
jsPDFにPDF注入とDoSの高リスクの脆弱性、緊急アップデート呼びかけ(CVE-2026-24737,CVE-2026-24133)
Java Spring AIにSQLインジェクションとJSONPathインジェクションの脆弱性(CVE-2026-22730、CVE-2026-22729)
