結論
IINA 1.4.3以前のバージョンには、ユーザー支援型のコマンド実行脆弱性が存在します。この脆弱性により、リモートの攻撃者が任意のコマンドを実行する可能性があります。利用者は、影響を受けるバージョンを使用している場合は、早急に対策を講じる必要があります。
この記事の要点
- IINA 1.4.3以前に存在する脆弱性
- リモート攻撃者による任意コマンド実行の可能性
- macOSユーザーが影響を受ける
脆弱性の概要
この脆弱性は、IINA 1.4.3以前のバージョンに存在し、ユーザーが支援する形でコマンド実行が可能な脆弱性です。リモートの攻撃者は、iina://openカスタムURLスキームハンドラーを通じて悪意のあるmpv_-prefixedクエリパラメータを提供することで、任意のコマンドを実行することができます。攻撃者は、ブラウザを介して作成したURLを配信し、mpvランタイムに未検証のmpv_options/input-commandsパラメータを渡すことで、ブラウザのプロトコルプロンプトの承認を得た後、現在のmacOSユーザーとして任意のコマンドを実行させることができます。
| 項目 | 内容 |
|---|---|
| CVE番号 | CVE-2026-47114 |
| 公開日 | 2026-05-21T20:16:14.340000Z |
| 対象システム | IINA 1.4.3以前 |
| 脆弱性の種類 | ユーザー支援型コマンド実行 |
| CVSSスコア | 8.6 |
| 攻撃条件 | 認証不要 / ネットワーク経由 |
◆ CVEについてはこちらから
まず何をすべきか
- IINAのバージョンを確認し、1.4.3以前を使用している場合は、アップデートを検討する。
- 不審なURLをクリックしないように注意する。
出典元
- NVD詳細ページ：https://nvd.nist.gov/vuln/detail/CVE-2026-47114
- CVE公式ページ（cve.org）：https://www.cve.org/CVERecord?id=CVE-2026-47114
- disclosure@vulncheck.com：https://binary.stackpointer.re/iina-142-url-scheme-command-execution
- disclosure@vulncheck.com：https://github.com/iina/iina/commit/1e6f43248dab9d6ae303781c790e5315cbc9fcef
- disclosure@vulncheck.com：https://github.com/iina/iina/releases/tag/v1.4.3
- disclosure@vulncheck.com：https://www.vulncheck.com/advisories/iina-command-execution-via-iina-open-url-scheme
対象システムと影響範囲
IINA 1.4.3以前のバージョンを使用しているmacOSユーザーが影響を受けます。
被害内容
悪用された場合、攻撃者は任意のコマンドを実行し、システムに対して不正な操作を行う可能性があります。
既知の悪用状況
現時点では実際の攻撃への悪用は確認されていません。
対応方法
- IINAを最新バージョンにアップデートすることを推奨します。
FAQ
Q1. どの製品が影響を受けますか？
IINA 1.4.3以前のバージョンを使用しているmacOSユーザーが影響を受けます。
Q2. まず何をすればよいですか？
IINAのバージョンを確認し、必要に応じてアップデートを行ってください。
Q3. 実際の悪用は確認されていますか？
現時点では実際の攻撃への悪用は確認されていません。
コメント