Webサイトの“見た目”を支える画像処理。いつものキャッシュ処理。身近な機能に、遠隔コード実行につながる問題が見つかっています。
Next.jsの画像最適化機能と、別の「use cache」機能にそれぞれ重大な脆弱性が報告されています。影響には実行環境や利用機能などの条件があります。すべてのNext.jsサイトが直ちに侵害される、という意味ではありません。
開発・運用担当者は、使っている版と該当機能を確認してください。公式情報ではNext.js 15.5.28 / 16.4.1などの修正版が案内されています。
画像処理ライブラリPillowで、複数フレームの画像を読み込む際にメモリ破壊が起こる問題です。特定の実行環境でコード実行を示す検証も報告されています。
Pillow / Python記事の根拠 ↗JWK方式で空のHMAC鍵を受け入れると、条件次第で偽造トークンの検証が通る可能性があります。一般的なJWTすべてが破られるという意味ではありません。
PyJWT / 認証記事の根拠 ↗SWWWに取り込まれた重大度はCRITICALですが、提供元の個別アドバイザリーではLOWの表記も確認されています。条件付きの問題であり、編集部は順位付けから除外して再確認を促します。
DOMPurify / 注記記事の根拠 ↗5件の「CRITICAL」が表示されても、5社が攻撃を受けたという意味ではありません。情報を公開した日、修正した日、SWWWが収録した日を分けて考えることが、最初の防御です。
31本を全部追う必要はありません。まずは、よく使われる技術・影響の大きさ・対策の明確さを軸に、編集部が8件に絞りました。
各製品の利用状況が分からないため、採用している技術で優先順位は変わります。既知の悪用件数、被害者数、会社への影響を推測して順位付けしていません。
Next.jsの画像最適化機能で、特定のLinux環境と依存ライブラリの組み合わせにより遠隔コード実行につながる可能性が報告されました。すべてのNext.jsサイトが影響を受けるわけではありません。
CRITICALNext.js / SVGApp RouterのCache Componentsで、複数の型付き配列を返す「use cache」関数がある場合、遠隔コード実行につながり得る問題です。提供元は16.4.1への更新を案内しています。
CRITICALNext.js / Cache画像処理ライブラリPillowで、複数フレームの画像を読み込む際にメモリ破壊が起こる問題です。特定の実行環境でコード実行を示す検証も報告されています。
CRITICALPillow / PythonJWK方式で空のHMAC鍵を受け入れると、条件次第で偽造トークンの検証が通る可能性があります。一般的なJWTすべてが破られるという意味ではありません。
HIGHPyJWT / 認証App RouterでServer Actionsを使う構成は、細工されたリクエストによりCPU負荷が高くなり、サービス停止につながる可能性があります。
HIGHNext.js / DoSDjango REST frameworkのコンテンツ交渉処理で、非常に大きなAcceptヘッダーがCPUを長時間消費させる可能性があります。
HIGHPython / DRFGateway WebSocketハンドラーで、カーネル実行の認可をすり抜ける問題が報告されています。該当構成の利用者は運用と更新情報を確認してください。
HIGHJupyterPillowの配布パッケージに含まれる画像処理コンポーネントが問題になる事例。OSだけを更新しても、アプリ側の同梱ライブラリは別管理の場合があります。
HIGHPillow / OpenJPEGDOMPurify（GHSA-cg2g-xh64-v4q7）とSentry（GHSA-mchm-gjx6-7h55）は、収集時の重大度と提供元の評価に差が見られます。どちらも本日の収録データでは「CRITICAL」ですが、このランキングからは一旦除外し、出典の最新版の確認を推奨します。
脆弱性の番号より、毎日触れている技術の名前から探す方がずっと簡単。今日の「目立った分野」と、蓄積データの傾向を分けてみました。
画像を開く・変換する機能で複数の注意情報。アップロード、サムネイル、画像解析も確認対象。
画像最適化・キャッシュ・Server Actionsに注意情報。利用機能の条件を原文で確認。
Acceptヘッダー、JSONパーサー、認証トークンの削除処理など。
設定ファイルの解析でCPUの浪費やプロトタイプ汚染などが報告。
PostgreSQLに保存された、最新の品質合格日報に含まれるアドバイザリーから技術名を抽出した件数。同じ記事に複数タグが付くため合計は全件数と一致しません。
棒が長い＝危険という意味ではありません。OracleやJavaの情報が多くても、SWWWは利用環境の有無を把握していません。検索結果の件数も被害件数ではありません。
OracleやJavaは蓄積アーカイブから検索可能です。使っている製品・版を確認してから、該当するアドバイザリーだけを追います。
Oracleの一覧 ↗ Javaの一覧 ↗画像処理や認証ライブラリは、画面に見えなくても使われていることがあります。依存関係を棚卸しして検索すると見落としが減ります。
Pythonの一覧 ↗ PHPの一覧 ↗WordPressを使わない運用環境でWordPressの警報がたくさん出ても、その製品が直ちに問題になるわけではありません。「使っているか」を一番のフィルターに。
タグ一覧 ↗脆弱性情報は、ただ怖がるためのものではありません。今日の31件を受け取っても、いきなり31回更新作業をする必要はありません。
Next.js、Pillow、Django REST framework、PyJWTなど。まず依存ライブラリ一覧やSBOMで確認します。
Next.jsなら画像最適化や「use cache」、Pillowなら複数フレーム画像の処理。条件が違えば対応優先度も変わります。
最新版にすれば必ず安全、とは限りません。該当版、互換性、既知の回避策を確認します。
更新による停止や依存関係の変化に備えて、テストと切り戻し手順を準備します。
対象外と判断した理由も含め、日付・版・根拠・テスト結果を残すと次の速報で慌てません。
脆弱性そのものの技術的な深刻さの指標です。あなたの会社がすでに被害を受けた証拠ではありません。
EPSSは悪用の予測確率、KEVはCISAが実際の悪用を確認した脆弱性のリスト。未掲載や未収集を「悪用なし」と判断しないことが大切です。
現時点でSWWWに掲載された情報から、ResoArcの採用製品との照合が済んでいるわけではありません。「未判定」は「影響なし」ではありません。
「31件を読む」のではなく、「自分に関係する3件を見つける」。そのための新聞です。明日も情報は増えますが、読むべきものは必ずしも増えません。