脆弱性 / VULNERABILITY / VLC
VLCメディアプレーヤー3.0.23以前にメモリ欠陥2件 — 細工したPNG画像と悪性のRTSPサーバが引き金に
VulnCheckは2026年9月9日、VLCメディアプレーヤー3.0.0から3.0.23にヒープ領域の範囲外書き込み（CVE-2026-56711、CVSS 8.8）と範囲外読み取り（CVE-2026-73324、CVSS 6.9）の欠陥があると公表した。細工したPNG画像を開く操作と、悪性のサーバが返す長い応答行がそれぞれ引き金になる。
要点
- 脆弱性情報企業VulnCheckは2026年9月9日、オープンソースの動画再生ソフトVLCメディアプレーヤーの3.0.0から3.0.23に、ヒープ領域（プログラムが実行時に確保する一時的な記憶領域）の欠陥2件があるとするアドバイザリ2件を公表した。発見者はFabian Wahle氏（Hap Security）である。
- 1件目のCVE-2026-56711は、画像バッファの確保サイズを32ビット整数で計算する際の整数オーバーフロー（計算結果が上限を超えて小さな値に折り返る現象）に起因するヒープ範囲外書き込みで、深刻度はNVDのCVSS 3.1評価で8.8（10点満点中）である。幅と高さを大きく宣言した細工したPNG画像を開く操作が引き金になり、特別な設定変更は不要だとVulnCheckは説明している。
- 2件目のCVE-2026-73324は、RealRTSP通信の応答行を固定長バッファに複写する際の終端処理の欠落に起因するヒープ範囲外読み取りで、VulnCheckのCVSS 4.0評価は6.9である。サーバが返す4096バイト以上の長いSessionヘッダー行により、視聴者側のヒープ内容がセッション識別子として保持され、以降の要求ごとに悪性サーバへ送り返されるため、サーバ運営者が視聴者のメモリ内容を読み取れると説明している。
- 公表時点で、VulnCheckのアドバイザリが示す影響範囲は3.0.0から3.0.23であり、修正版の提供は確認されていない。VideoLANのセキュリティ情報ページにも2026年の修正案内は掲載されていない。
CVE-2026-56711 — 画像バッファの計算誤差が範囲外書き込みに
CVE-2026-56711の原因は、画像1枚分のバッファサイズを積み上げる処理AllocatePicture（ソースコードsrc/misc/picture.c）にある。各画像面の1行あたりのバイト数と行数の積を32ビット整数で加算しているため、大きな画像寸法では計算結果が折り返って小さい値になる。事前のオーバーフロー検査は64ビット演算で割り算を行うためこの積を拘束できず、上限値との比較も折り返し後の値を調べるため、どちらの防御もすり抜けるとVulnCheckは解説している。
確保される領域は折り返し後の小さなサイズである一方、デコーダは元の寸法に基づく走査線を書き込むため、確保領域を越えた書き込みが起きる。攻撃者が影響する長さと内容を操作できるとしている。入り口はPNG画像の復号経路で、画像読み込み部品の寸法検査は入力ファイルのバイト数だけを見るため、ヘッダーで大きな幅・高さを宣言したPNGがこの経路に到達する。ファイルを直接開く操作でも、プレイリスト経由の再生でも発火し得る。
CVE-2026-73324 — 悪性サーバが視聴者のメモリを読み取る
CVE-2026-73324の原因は、RealRTSP応答の1行を固定長バッファへ複写する処理RtspReadLine（modules/access/rtsp/access.c）にある。strncpyにバッファ全体の長さを渡すため、応答行がバッファ以上の長さだと終端文字が書き込まれない。その後の処理がこのバッファをC言語文字列として扱い、strdupで長さを測って複写するため、確保領域を越えて隣接するヒープのバイト列を、偶然のゼロバイトに当たるまで読み取るとしている。
問題の行はSessionヘッダーであり、漏えいしたバイト列はセッション識別子として保持され、以降の全要求でサーバへ送り返される。攻撃者は行の長さを操作して読み取り範囲を延ばせる。再生リストにrealrtspのURLを1件書くだけで足りるとしている。対象部品はビルド時選択式で、一部の配布パッケージでは無効だが、VideoLAN公式ビルドでは有効だとVulnCheckは付記している。
影響範囲と現状
VulnCheckのアドバイザリ2件はいずれも、影響を受ける版をVLCメディアプレーヤー3.0.0以上3.0.23以下と記載している。NVDの登録（2026年9月9日）も同範囲を影響版として記録している。弱点種別はCVE-2026-56711がCWE-190（整数オーバーフロー）とCWE-787（範囲外書き込み）、CVE-2026-73324がCWE-125（範囲外読み取り）とCWE-170（不適切な終端処理）である。
VLCは個人利用から企業内利用まで幅広い環境で使われている再生ソフトであり、引き金は細工した画像ファイルの再生と悪性サーバへの接続である。VulnCheckのアドバイザリ2件に回避策や緩和策の記載はなく、修正版の公開状況はVideoLANの公式発表で確認するほかないのが現状だ。
出典
- VulnCheck「VLC media player 3.0.0 through 3.0.23 Heap Out-of-Bounds Write via Integer Overflow in Picture Allocation」(2026年9月9日)
- VulnCheck「VLC media player 3.0.0 through 3.0.23 Heap Out-of-Bounds Read via Unterminated RealRTSP Response Line」(2026年9月9日)
- NVD「CVE-2026-56711」「CVE-2026-73324」（2026年9月9日登録、深刻度・影響範囲の照合に使用）
この記事は、公開情報と編集部の調査・知見をもとに構成しています。内容は公開時点の情報に基づく解説であり、個別の環境への診断・対応を保証するものではありません。重要な判断では、記事内の出典や各提供元の最新情報もご確認ください。