gawk do_sub() の整数オーバーフロー（32bit ビルドが対象・ディストリ未修正）

Critical（CVSS 9.1）に分類されるGNU gawk（GNU awk）の脆弱性です。gawk の builtin.c にある do_sub()（sub / gsub の実装）に整数オーバーフローがあり、ヒープのメタデータやオブジェクトを上書きしてプログラムをクラッシュさせられる。影響するのは 32bit ビルドの gawk 5.4.0 以下で、一般的な 64bit ビルドは対象外。スコアの読み方に注意が要る脆弱性で、NVD の CVSS 3.1 基本値は 9.1（Critical・AV:N）だが、同じ NVD の CVSS 4.0 では 5.1（Medium・AV:L＝ローカル）と評価されている。実際の攻撃面は「攻撃者が内容を制御できるデータを 32bit gawk の sub/gsub に食わせられるか」で決まるため、当サイトの掲載基準（CVSS 3.1 で 7.0 以上）は満たすものの、64bit 環境しか無い組織では優先度を上げる必要はない。

まず自環境に 32bit ビルドの gawk があるかを確認する（file $(which gawk) や dpkg --print-architecture で判別できる）。無ければこの CVE の実害は無い。32bit 環境がある場合、2026-08-10 時点で Debian は unstable も含めて未修正（trixie は no-dsa＝軽微として扱う判断）なので、上流の修正コミット ae1b2d50 を当てた gawk を自前でビルドするか、当該処理を 64bit 環境へ寄せるのが現実的な対応になる。ディストリのパッケージ更新を待つ方針でも、対象が 32bit に限られるためリスクは限定的である。

GNU gawk（GNU awk） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-40469）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。