研究者らはこのほど、広く利用されているコンピュータ支援設計（CAD）ソフトウェア「Ashlar-Vellum Cobalt」に、5件のゼロデイ脆弱性が存在することを発見しました。いずれも重大な欠陥で、攻撃者は細工した複雑な図面ファイルを使って任意のコードを実行できます。Zero Day Initiativeは、パッチが未提供のこれらの欠陥について正式なアドバイザリーを公開し、世界のセキュリティコミュニティに情報を開示しました。そのため、技術者が侵害されたワークステーション上で未検証の産業用設計ファイルを処理すると、深刻なリスクにさらされます。開示の時点で、開発元はこれらの欠陥に対する検証済みのセキュリティパッチを提供していませんでした。
XE・LI・ARハンドラーの解析処理に欠陥
攻撃が成立するには、ネットワーク経由の直接侵入ではなく、ユーザーの操作が必要です。具体的には、攻撃者は何も知らないオペレーターを誘導し、細工されたCAD図面を開かせる必要があります。あるいは、ローカルのファイルハンドラーを起動させる悪意あるWebポータルへ被害者を誘導する手口もあります。ひとたび起動すると、悪意あるペイロードは、実行中のアプリケーションのセキュリティ権限で命令を実行します。
5件のメモリ破損の脆弱性は、TecSecurityのセキュリティ研究者Rocco Calvi氏が最初に特定しました。このうち3件は、同ソフトウェアのXEデータハンドラーに影響します。内訳は、CVE-2026-121744として登録された重大なスタックベースのバッファオーバーフローが1件です。さらに、CVE-2026-121753とCVE-2026-121742で追跡されている2件のuse-after-free（解放後使用）があります。一方、LIハンドラーとARハンドラーでは、動的メモリ割り当てのエラーが2件確認され、それぞれCVE-2026-121752とCVE-2026-121743に対応します。いずれも、ソフトウェアが厳密なバッファ境界のチェックを行わないまま、入力ストリームをヒープメモリにコピーしています。
開示の経緯と未解決のパッチ状況
協調的開示の取り組みは、ほぼ丸1年に及びましたが、解決には至っていません。当初、研究者らは2025年11月に技術的な脆弱性レポートをAshlar-Vellumへ送付しました。その後、調整担当者は冬から春にかけて、繰り返し状況を問い合わせています。7月になって、ソフトウェア担当者は、複数のメモリ欠陥に対する修正ビルドが未完成であることを認めました。Cobaltに関するZero Day Initiativeのセキュリティアドバイザリーに記載のとおり、調整担当者は正式な開示予告を経て詳細を公表しました。
製品系統への広がりと産業用ソフトウェアの前例
過去の事例から、関連するCADアプリケーションにも直ちに精査が必要だと考えられます。以前にも、政府のセキュリティチームが、同じ製品群全体で類似のファイル解析の欠陥を調査しています。たとえば、Ashlar-Vellumに関するCISAの産業用サイバーセキュリティアドバイザリーは、XenonやArgon、Lithiumの各ツールにパーサーの欠陥があることを記録していました。今回新たに見つかった脆弱性は公式にはCobaltが対象ですが、隣接する製品も共通の基盤コードを共有しています。
現在、Zero Day Initiativeは各脆弱性に、深刻度が高いことを示すCVSSスコア7.8を割り当てています。幸い、防御側のアナリストは、これらの欠陥を狙った実環境での攻撃キャンペーンを確認していません。とはいえ、技術者のチームは、認定されたベンダーの更新プログラムが提供されるまで、ファイルの取り込みワークフローを制限すべきです。結局のところ、ファイルを厳格に隔離する運用が、悪用された設計データに対する最も確実な防御策となります。
翻訳元: https://meterpreter.org/cobalt-cad-vulnerabilities/
