画像変換サーバーimgproxyのICO画像読み込み処理に、CRITICAL（CVSS 9.8）の整数オーバーフローが確認された。細工された画像データによってメモリ破壊が起き、サービス停止や任意コード実行につながる恐れがある。開発元はv4.0.16で修正済み。10月30日にGitHubの審査済み脆弱性データベースへ収録されたが、開発元の初報は10月6日である。
30秒でわかる / THE SIGNAL
画像変換サーバーimgproxyのICO画像読み込み処理に、CRITICAL（CVSS 9.8）の整数オーバーフローが確認された。細工された画像データによってメモリ破壊が起き、サービス停止や任意コード実行につながる恐れがある。開発元はv4.0.16で修正済み。10月30日にGitHubの審査済み脆弱性データベースへ収録されたが、開発元の初報は10月6日である。
ICO画像のサイズ計算で整数オーバーフロー
imgproxy開発元のGHSA-hff9-5pqw-6w9fは、ICO画像を読み込む処理で32ビットの入力サイズにBMPヘッダー長を加算する際、値が上限を超えて折り返す問題を説明している。確保されるメモリが極端に小さくなる一方、読み込み処理は元の宣言サイズに基づいてデータを書き込もうとするため、ヒープ領域の範囲外への書き込みが発生し得る。
サービス停止と潜在的な任意コード実行
開発元は、細工されたICO画像を処理させることでimgproxyプロセスを停止させたり、ヒープ破壊を通じて任意コード実行に至ったりする可能性を挙げている。公式CVSS v3.1のベーススコアは9.8（CRITICAL）で、ネットワーク経由・認証不要・ユーザー操作不要の条件が示されている。ただし、任意コード実行の実被害が確認されたという意味ではない。外部画像の取得・変換を行うサービスでは、信頼できない入力がICOローダーに到達するかを確認したい。
影響するv4系列と修正版
公式GHSAに記載された影響範囲はimgproxy v4.0.0以上v4.0.16未満。修正版はv4.0.16であり、開発元の2026年9月28日のリリースノートもICO画像ローダーの複数の脆弱性を修正したと明記する。まず実際に稼働するバージョンとコンテナイメージを確認し、該当環境をv4.0.16以降に更新する。更新完了まで外部由来のICO画像を処理する経路を制限することも、構成に応じた暫定的なリスク低減策となる。
初報とデータベース収録日は異なる
本件は2026年10月6日に開発元GHSAが公開され、10月30日にGitHub Advisory Databaseで審査済み情報として収録された。10月30日に初めて脆弱性が発見されたわけではない。確認した開発元勧告にはCVE番号がなく、実環境での悪用を確認したという記載もない。公表済みの技術的影響と実際の攻撃観測を分けて扱う。