セキュリティ勧告: CVE-2026-103653 Qt CoAPの範囲外読み取りの脆弱性

Qt CoAPモジュールのCoAPメッセージ解析処理QCoapInternalReply::createFromFrame()に範囲外読み取り(out-of-bounds read)の脆弱性が発見され、CVE ID CVE-2026-103653が割り当てられました。

影響を受けるバージョン: Qt 5.13.0〜Qt 6.8.8、Qt 6.9.0〜Qt 6.11.2

影響: 不正な形式のCoAPメッセージを処理すると、Qt CoAPを使用するアプリケーションがクラッシュする(可用性の喪失)、または誤ったデータを扱ったまま動作を続けてしまう(完全性の喪失)可能性があります。

CVSS 4.0スコア: 6.7 (Medium)

ベクター文字列: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:L/VA:H/SC:N/SI:N/SA:N/E:U/AU:Y/R:U/RE:L/U:Amber

緩和策: 回避策はありません。更新またはパッチの適用までの間は、信頼できるピアからのCoAPトラフィックのみを受け付けるよう、ネットワークフィルタリングなどで制限することで影響を抑えられます。

対処法: 以下のパッチを適用するか、Qt 6.8.9 LTS、Qt 6.11.3、Qt 6.12.0以降にアップデートしてください。

パッチ

• dev: https://codereview.qt-project.org/c/qt/qtcoap/+/760652 と https://codereview.qt-project.org/c/qt/qtcoap/+/761120
  

• Qt 6.11: https://codereview.qt-project.org/c/qt/qtcoap/+/764363 と https://codereview.qt-project.org/c/qt/qtcoap/+/764364 または
  https://download.qt.io/official_releases/qt/6.11/CVE-2026-103653-qtcoap-6.11-0001.diff と https://download.qt.io/official_releases/qt/6.11/CVE-2026-103653-qtcoap-6.11-0002.diff
  

• Qt 6.8 LTS: https://codereview.qt-project.org/c/qt/tqtc-qtcoap/+/764366 と https://codereview.qt-project.org/c/qt/tqtc-qtcoap/+/764367
  または https://download.qt.io/archive/qt/6.8/CVE-2026-103653-qtcoap-6.8-0001.diff と https://download.qt.io/archive/qt/6.8/CVE-2026-103653-qtcoap-6.8-0002.diff