CVE-2026-75935 と CVE-2026-75936 - Amazon ion-java における問題 - メモリ増幅型サービス拒否
速報 ID: 2026-083-AWS
対象範囲: AWS
コンテンツタイプ: 重要 (要注意)
発行日: 2026 年 8 月 18 日 12 時 30 分 (PDT)
説明:
ion-java は、Amazon Ion データ形式の仕様を実装した Java ライブラリです。宣言された長さに基づく事前割り当てによるメモリ増幅型のサービス拒否 (CVE-2026-75935)、および高圧縮データの展開によるメモリ増幅型のサービス拒否 (CVE-2026-75936) を特定しました。
影響を受けるバージョン: 1.12.0 未満
解決方法:
これらの問題は、ion-java バージョン 1.12.0 で対処されています。最新バージョンにアップグレードし、フォークしたコードまたは派生コードにパッチを適用して新しい修正を組み込むことをお勧めします。信頼できない入力を処理する場合は、IonBufferConfiguration.withMaximumBufferSize を使用してバッファサイズに上限を設定し、IonReaderBuilder.withGzipDecompressionEnabled(false) を使用して GZIP の自動展開を手動で無効化する必要があります。
回避策:
バージョン 1.12.0 未満においては、ion-java のパーサーが受け付けるすべてのエンコーディング ([text, binary] x [GZIP, uncompressed]) に対して有効な回避策はありません。ただし、IonBufferConfiguration.withMaximumBufferSize を使用してパーサーの最大バッファサイズを制限することは、GZIP でエンコードされたテキスト形式の Ion を除くすべての組み合わせに対して有効です。
参考情報:
セキュリティに関する質問や懸念がある場合は、aws-security@amazon.com までメールにてお問い合わせください。