CVE-2026-48513
| Summary |
MessagePack for C# is a MessagePack serializer for C#. Prior to 2.5.301 and 3.1.7, runtime-generated union deserializers emitted by DynamicUnionResolver do not call MessagePackSecurity.DepthStep(ref reader) and do not decrement reader.Depth around recursive deserialization and skip paths. This means union deserialization does not consistently participate in the maximum object graph depth enforcement that protects other recursive formatter paths. For unknown union keys, the emitted deserializer calls reader.Skip() on attacker-controlled data without an enclosing depth step. This vulnerability is fixed in 2.5.301 and 3.1.7.
|
| Publication Date |
June 23, 2026, 7:16 a.m. |
| Registration Date |
June 27, 2026, 4:12 a.m. |
| Last Update |
June 26, 2026, 1:16 a.m. |
|
CVSS3.1 : HIGH
|
| スコア |
7.5
|
| Vector |
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H |
| 攻撃元区分(AV) |
ネットワーク |
| 攻撃条件の複雑さ(AC) |
低 |
| 攻撃に必要な特権レベル(PR) |
不要 |
| 利用者の関与(UI) |
不要 |
| 影響の想定範囲(S) |
変更なし |
| 機密性への影響(C) |
なし |
| 完全性への影響(I) |
なし |
| 可用性への影響(A) |
高 |
Affected software configurations
| Configuration1 |
or higher |
or less |
more than |
less than |
| cpe:2.3:a:messagepack:messagepack:*:*:*:*:*:c\#:*:* |
|
|
|
2.5.301 |
| cpe:2.3:a:messagepack:messagepack:*:*:*:*:*:c\#:*:* |
3.0.3 |
|
|
3.1.7 |
Related information, measures and tools
Common Vulnerabilities List
JVN Vulnerability Information
MessagePackにおける再帰制御に関する脆弱性
| Title |
MessagePackにおける再帰制御に関する脆弱性
|
| Summary |
C#用のMessagePackはC#向けのMessagePackシリアライザです。バージョン2.5.301および3.1.7以前では、DynamicUnionResolverによって実行時に生成されるユニオンのデシリアライザが、再帰的なデシリアライズやスキップのパス周辺でMessagePackSecurity.DepthStep(ref reader)を呼び出さず、reader.Depthを減算しませんでした。これは、ユニオンのデシリアライズが他の再帰的なフォーマッタパスを保護する最大オブジェクトグラフ深度の制限に一貫して参加しなかったことを意味します。未知のユニオンキーに対して、生成されたデシリアライザは攻撃者が制御するデータに対して囲みの深度ステップなしにreader.Skip()を呼び出してしまいます。この脆弱性はバージョン2.5.301および3.1.7で修正されました。
|
| Possible impacts |
・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。 ・当該ソフトウェアが扱う情報について、書き換えは発生しません。 ・当該ソフトウェアが完全に停止する可能性があります。 |
| Solution |
ベンダ情報を参照して適切な対策を実施してください。 |
| Publication Date |
June 22, 2026, midnight |
| Registration Date |
June 26, 2026, 11:57 a.m. |
| Last Update |
June 26, 2026, 11:57 a.m. |
Affected System
| MessagePack |
|
MessagePack 2.5.301 未満
|
|
MessagePack 3.0.3 以上 3.1.7 未満
|
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
Change Log
| No |
Changed Details |
Date of change |
| 1 |
[2026年06月26日]
掲載 |
June 26, 2026, 11:57 a.m. |