セキュリティ勧告：CVE-2026-107157 QCborValue::fromCbor()の範囲外読み取りの脆弱性

Qt CoreモジュールのCBOR解析機能（QCborValue::fromCbor()）において、範囲外読み取りの脆弱性が発見され、CVE IDとして「CVE-2026-107157」が割り当てられました。

影響を受けるバージョン: Qt 5.12.0〜Qt 6.8.8、Qt 6.9.0〜Qt 6.11.2（64ビットプラットフォームのみ）

影響: 特別に細工された入力をこのAPIで処理すると、アプリケーションがクラッシュする可能性があり、情報漏えいにつながるおそれもあります。

CVSS 4.0スコア: 2.0 / LOW

ベクター文字列: CVSS:4.0/AV:L/AC:H/AT:N/PR:N/UI:P/VC:H/VI:N/VA:H/SC:N/SI:N/SA:N/E:U/RE:L/U:Amber

回避策: ポインタとサイズを引数に取るオーバーロードの代わりに、QByteArrayを引数に取るQCborValue::fromCbor()のオーバーロードを使用してください。また、信頼できない入力のCBORデータは、解析前に検証し、サイズを制限してください。

対処法: 以下のパッチを適用するか、Qt 6.8.9、Qt 6.11.3、Qt 6.12.0以降にアップデートしてください。

パッチ

• 開発版（dev）: https://codereview.qt-project.org/c/qt/qtbase/+/745719

• Qt 6.11: https://codereview.qt-project.org/c/qt/qtbase/+/746659 または https://download.qt.io/official_releases/qt/6.11/CVE-2026-107157-qtbase-6.11.diff

• Qt 6.8: https://codereview.qt-project.org/c/qt/tqtc-qtbase/+/746714 または https://download.qt.io/archive/qt/6.8/CVE-2026-107157-qtbase-6.8.diff