注目★★★★★GitHub Advisory
New API の請求システムに整数オーバーフロー脆弱性、ユーザー自身でクレジット化が可能
30秒で把握
- 1New API の請求計算に整数オーバーフロー脆弱性、ユーザーが負の配額を自動生成可能
- 2決済時に負の額がクレジットとなり残高が巨額化、2026/7 実際の悪用を確認
- 3v1.0.0-rc.18 以降へのアップグレード及びログ検査・不正クレジット精査を即実施
要約
New API の請求計算パスで、ユーザー制御の数量パラメータが上限チェックなしで掛け算され、極端な値を入力すると int64/int32 をオーバーフロー させて負の配額に変換されていた。負の配額は決済時に有効化されるため、小さな正の残高が巨額に膨張する自己クレジット攻撃が可能だった。本脆弱性は 2026 年 7 月に実際の悪用が報告されたため、対応チームが約 2 時間で緊急パッチ (v1.0.0-rc.18) をリリースし、翌日に全コミュニティへ公表した。
あなたへの影響
New API を本番運用する場合、v1.0.0-rc.18 以降への即座なアップグレード及びログの精査 (異常な負の消費エントリ・残高の急増) が必須。
推奨：既に本脆弱性による不正クレジットが自組織の環境で発生していないか早急に確認すべき。