WiresharkのSBC音声コーデックの脆弱性CVE-2026-5403
Wireshark Foundationの2026年4月29日の勧告によると、WiresharkのSBC音声コーデックの脆弱性CVE-2026-5403は、Wiresharkのクラッシュか任意コードの実行に至ることがありうる［4］。修正版の4.6.5のリリースノートは、この脆弱性を含む43件のセキュリティ勧告を挙げた［2］。
脆弱性の内容
Wireshark Foundationは公開の告知とリリースノートで、今回の版は相当数の脆弱性を修正したと書き、その理由を最近のAI支援による脆弱性報告の傾向とした［1、2］。4.6.5の勧告のうち、題に「possible code execution」を含むのは、TLSディセクタ、SBCコーデック、RDPディセクタ、プロファイルのインポートの4件である［2］。残りはディセクタなどのクラッシュや無限ループと、sharkdのメモリリークやクラッシュの勧告で、wnpa-sec-2026-45・47〜50にはCVE番号の記載がない［2］。
| CVE | 概要 | 成立条件 | CVSS | 資料 |
|---|---|---|---|---|
| CVE-2026-5403（wnpa-sec-2026-16） | SBC音声コーデックのヒープバッファオーバーフロー（CWE-122）。クラッシュか任意コードの実行に至ることがありうる | 不正な形式のパケットをネットワークに流すか、不正な形式のパケットトレースファイルを読ませる | 7.8〔注1〕 | ［4、15］ |
| CVE-2026-5402（wnpa-sec-2026-14） | TLSディセクタのヒープオーバーフロー（CWE-122）。クラッシュし、信頼できないコードを実行することがありうる | 不正な形式のパケットをネットワークに流すか、トレースファイルを読ませる | 8.8 | ［5、16］ |
| CVE-2026-5405（wnpa-sec-2026-17） | RDPディセクタのヒープバッファオーバーフロー（CWE-122）。クラッシュし、任意コードを実行することがありうる | - | 7.8 | ［6、17］ |
| CVE-2026-5656（wnpa-sec-2026-21） | プロファイルのインポートのパストラバーサル（CWE-22）。Wiresharkのクラッシュか任意コードの実行 | 細工した設定プロファイルを人にインポートさせる | 7.0 | ［7、18］ |
SBC、TLS、RDPの3件の勧告は、発見者をDuc Anh Nguyenとした［4、5、6］。プロファイルのインポートの1件は、Theoriの5名とXintが見つけた［7］。SANS ISCは日記で、4.6.5が43件の脆弱性（38件のCVE）を修正したと書いた［21］。不具合の修正は35件で、修正の多さはAIによるとした［21］。
SBCコーデックの報告
発見者はWiresharkの課題管理に出したIssue 21103で、codec_sbc_decode()は8192バイトの固定長の出力バッファを確保するが、複数フレームを復号するループで残りの容量を減らさないと説明した［20］。1つのRTPパケットに約256を超えるSBCフレームがあると、復号した出力がバッファを超える［20］。発見者はsharkdのバイナリでAddressSanitizerを使い、400フレームの例で4608バイトの超過を確かめた［20］。このコードは2012年の最初のコミットから変わっておらず、4.4.3、4.6.0〜4.6.4、masterとrelease-4.6で同じだったと報告した［20］。
- SBCコーデックのプラグインはlibsbcが入っている環境でだけビルドされ、libsbcの無い環境は影響を受けない［20］。
- 経路はsharkdのJSON-RPCのdownload（GUIは要らない）と、WiresharkのGUIのRTP Player（Decode As RTPと再生の手動の操作が要る）である［20］。
- tsharkはcodec_decodeを呼ばないので影響を受けない［20］。
- 細工したpcapngを開く操作が要るが、信頼できないpcapngを処理するsharkdの運用（例としてCloudshark）は露出が高まることがある（AV:N）［20］。
報告には、PoCのpcapng、ASANの出力、PoCを生成するPythonのスクリプトが暗号化した添付として付いていた［20］。
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2026年 | - | SBCコーデックのヒープバッファオーバーフローがIssue 21103で報告された | ［20］ |
| 2026年 | Wireshark Foundation | Wireshark 4.6.5と4.4.15を公開し、勧告wnpa-sec-2026-08〜50を出した | ［1、2］ |
| 2026年 | CVE Program | CVE-2026-5402、5403、5405、5656の記録を公開した | ［15、16、17、18］ |
| 2026年 | Debian Project | DSA-6249-1を出した | ［11］ |
| 2026年 | Wireshark Foundation | Wireshark 4.6.6と4.4.16を公開し、4.6.5がWindows 10バージョン1809で動かない不具合を直した | ［8、9］ |
対象の製品と版
Wireshark Foundationは利用者ガイドで、Wiresharkの前身はEtherealで、2006年にWiresharkの名に変わったと書いた［24］。2023年に、501(c)(3)の非営利法人であるWireshark Foundationに移った［24］。
| 製品 | 影響を受ける版 | 修正版 | 資料 |
|---|---|---|---|
| Wireshark（CVE-2026-5403、5405、5656） | 4.6.0〜4.6.4、4.4.0〜4.4.14 | 4.6.5、4.4.15 | ［4、6、7］ |
| Wireshark（CVE-2026-5402） | 4.6.0〜4.6.4 | 4.6.5 | ［5］ |
4.4.15のリリースノートは37件〔注2〕の勧告を修正した脆弱性として挙げ、wnpa-sec-2026-14・19・25・33・35・36を含まない［3］。
| 配布元 | 状態 | 修正版・アドバイザリ | 資料 |
|---|---|---|---|
| Debian（trixie） | fixed | 4.4.15-0+deb13u1（DSA-6249-1） | ［10、11］ |
| Debian（forky、sid） | fixed | - | ［10］ |
| Debian（bookworm） | vulnerable（no-dsa、Minor issue） | 4.0.17-0+deb12u3（DSA-6249-1は一部の問題を修正） | ［10、11］ |
| Ubuntu（全リリース） | Needs evaluation（優先度Medium。25.10はIgnored end of life） | - | ［12］ |
| SUSE | Resolved | SUSE-SU-2026:21559-1、2203-1、2969-1、3501-1 | ［13］ |
| Red Hat（RHEL 10） | Will not fix（重要度Important） | - | ［14］ |
| Red Hat（RHEL 6〜9） | Not affected | - | ［14］ |
悪用の状況
Wireshark Foundationは、表1の各勧告で悪用を把握していないとした［4、5、6、7］。CVE記録では、CISAのADP（Vulnrichment）がCVE-2026-5402、5403、5405、5656のいずれもSSVCのExploitationをnoneと評価した［15、16、17、18］。CVE-2026-5403では、AutomatableをnoとTechnical Impactをtotalとした［15］。NVDのCVE-2026-5403の項目には、CISAのKEVに加えた日付の項目が無い［19］。
修正と回避策
Wireshark Foundationの各勧告は、対処を修正版への更新とした［4、5、7］。公開の告知は、Windows・macOS向けのインストーラーとソースコードをダウンロードページで配っていると案内した［1］。
Red Hatは、この脆弱性は不正な形式のpcapファイルを処理したときにだけ悪用できると説明した［14］。SBC音声コーデックのディセクタを使わないなら、GUIの「Enabled Protocols」ダイアログで無効にでき、tsharkでも無効になるとした［14］。
Wireshark Foundationは4.6.6の公開の告知で、脆弱性1件と、古いWindows 10でのDLLの競合を直したと書いた［8］。リリースノートによると、Wireshark.exe 4.6.5の大きさが4.6.4の2倍だった不具合も直した［9］。窓の杜は、Windows版の対応OSを64bit版のWindows 10/11とWindows Server 2016/2019/2022と報じた［23］。
未公表の事項
- TLS、RDP、プロファイルのインポートの3件の原因の詳細
- AI支援による報告がどの勧告に当たるかと、報告者の内訳
- Ubuntuでの評価の結果
注
出典
当事者
- ［1］Wireshark Foundation『Wireshark 4.6.5 and 4.4.15 Released』（2026年4月29日公開）
- ［2］Wireshark Foundation『Wireshark 4.6.5 Release Notes』（2026年4月29日公開）
- ［3］Wireshark Foundation『Wireshark 4.4.15 Release Notes』（2026年4月29日公開）
- ［4］Wireshark Foundation『wnpa-sec-2026-16 · SBC audio codec crash』（2026年4月29日公開）
- ［5］Wireshark Foundation『wnpa-sec-2026-14 · TLS dissector crash and possible code execution』（2026年4月29日公開）
- ［6］Wireshark Foundation『wnpa-sec-2026-17 · RDP dissector crash』（2026年4月29日公開）
- ［7］Wireshark Foundation『wnpa-sec-2026-21 · Profile import crash and possible code execution』（2026年4月29日公開）
- ［8］Wireshark Foundation『Wireshark 4.6.6 and 4.4.16 Released』（2026年5月19日公開）
- ［9］Wireshark Foundation『Wireshark 4.6.6 Release Notes』（2026年5月19日公開）
関係組織
- ［10］Debian Project『CVE-2026-5403』（公開日不明、2026年11月7日閲覧）
- ［11］Debian Project『\[SECURITY\] \[DSA 6249-1\] wireshark security update』（2026年5月6日公開）
- ［12］Canonical Ltd.『CVE-2026-5403』（2026年5月1日公開、2026年5月14日更新）
- ［13］SUSE LLC『CVE-2026-5403』（2026年4月30日公開、2026年11月4日更新）
- ［14］Red Hat, Inc.『CVE-2026-5403』（2026年4月30日公開）
公的機関
- ［15］CVE Program『CVE-2026-5403 Heap-based Buffer Overflow in Wireshark』（2026年4月30日公開、2026年7月15日更新）
- ［16］CVE Program『CVE-2026-5402 Heap-based Buffer Overflow in Wireshark』（2026年4月30日公開、2026年7月15日更新）
- ［17］CVE Program『CVE-2026-5405 Heap-based Buffer Overflow in Wireshark』（2026年4月30日公開、2026年7月15日更新）
- ［18］CVE Program『CVE-2026-5656 Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') in Wireshark』（2026年4月30日公開、2026年7月15日更新）
- ［19］National Institute of Standards and Technology『CVE-2026-5403』（2026年5月1日公開、2026年7月15日更新）
調査・観測
- ［20］Wireshark Foundation『Heap Buffer Overflow in SBC codec (#21103)』（2026年3月19日公開）
- ［21］SANS Internet Storm Center『Wireshark 4.6.5 Released』（2026年5月3日公開）
報道機関
- ［22］株式会社インプレス『ネットワークプロトコルアナライザ「Wireshark 4.6.5/4.4.15」リリース ─ 脆弱性修正と安定性改善』（2026年4月30日公開）
- ［23］株式会社インプレス『フリーのネットワークプロトコルアナライザー「Wireshark 4.6.5」、43件の脆弱性を修正』（2026年5月7日公開）
背景資料
- ［24］Wireshark Foundation『1.5. A Brief History Of Wireshark』（公開日不明、2026年11月7日閲覧）
更新記録
- 2026年5月3日：公開した。
- 2026年5月6日：Debian Projectの5月6日のセキュリティ勧告DSA-6249-1（出典11）を加え、「時系列」と「対象の製品と版」の配布元の表を改めた。
- 2026年5月7日：窓の杜の5月7日の記事（出典23）を加え、「修正と回避策」と注を改めた。
- 2026年5月14日：Canonical Ltd.のCVE-2026-5403のページの5月14日の更新（出典12）を反映し、「対象の製品と版」の配布元の表を改めた。
- 2026年5月19日：Wireshark Foundationの5月19日の4.6.6と4.4.16の公開の告知とリリースノート（出典8、9）を加え、「時系列」と「修正と回避策」を改めた。
- 2026年7月15日：CVE Programの7月15日に更新したCVE記録（出典15、16、17、18）とNVDの項目（出典19）を反映し、「脆弱性の内容」の表と「悪用の状況」を改めた。
- 2026年11月4日：SUSE LLCのCVE-2026-5403のページの11月4日の更新（出典13）を反映し、「対象の製品と版」の配布元の表と注を改めた。