注目★★★★★GitHub Advisory
icalendar ライブラリに指数時間の比較処理、DoS 脆弱性 (CVE-2026-55099)
30秒で把握
- 1icalendar の Component.__eq__ が O(2^n) 時間で実行・ネスト深度が深い .ics で DoS 可能
- 2数キロバイトの細工データで比較処理が数分〜無限ハング・Parser が深さ制限なし
- 3カレンダーデータ比較・重複排除・テスト検証など等値判定全般が影響対象・修正版確認推奨
要約
icalendar ライブラリの Component.__eq__ メソッドが、ネスト深度に対して O(2^n) の指数時間で比較を実行する脆弱性が報告された。攻撃者が細工した.ics ファイルを解析させると、わずか数キロバイトのデータで単一の等値チェックが数分間実行されたり無限にハングする可能性がある。Parser が任意の深さのネスト構造を受け入れるため、比較・重複排除・テスト検証など等値判定を伴うあらゆる操作が対象となる。
あなたへの影響
icalendar を使用して外部から供給されるカレンダーデータ (.ics) の等値比較や集合操作を行うチームは、早急にバージョンアップをチェックし。
推奨：必要に応じてパッチの適用または入力検証の強化を検討すべき。