脆弱性情報（JVN）検索・一覧

Linuxカーネルにおいて、wifi: brcmfmac: brcmf_fw_alloc_request()の潜在的なシフトオーバーフローの問題が修正されました。デバイスから提供される'chiprev'の値が大きすぎる場合に、ビットシフトの範囲外アクセスが発生していました。具体的には、u32型変数とBIT(chiprev)でビット論理積を行うため、chiprevはBITS_PER_TYPE(u32)未満でなければなりません。これを超える場合にNULLを返すチェックが追加されました。NULLの場合は、その後のバス固有の呼び出し元で適切に処理されます。この問題はsyzkallerの修正版によって発見され、ドライバの安全性を向上させるものです。

Linuxカーネルのdrm/i915/perfサブシステムにおいて、xehp_oa_b_countersにセントネルを追加し、reg_in_range_tableに渡される配列が空のレコードで終了するように修正しました。この変更により、範囲外読み取りのバグが修正され、KASANが検出したグローバル範囲外の読み取りによる不具合を防止します。

Linuxカーネルにおけるiavfドライバーの脆弱性が修正されました。この脆弱性は、iavf_remove()関数内でチャネル数を過剰に設定し、デバイスのリセット完了待機がタイムアウトした際に発生します。具体的には、num_active_queuesが実際に割り当てられたtx/rx_ringsの数よりも大きく変更され、その結果、境界外アクセス（OOB）が発生します。この問題によって、カーネルのメモリが破損し、システムが不安定になる可能性があります。本問題は、正しいチャネル数の管理とリセット処理の修正により解決されました。

Linuxカーネルにおいて、以下の脆弱性が修正されました：ring-bufferのtrace_pipeを読み取る際に発生するデッドループ問題です。ファイル'trace_pipe'を読み取るとソフトロックアップが発生します。具体的には、watchdogにより次のようなエラーメッセージが出力されます：BUG: soft lockup - CPU#6が22秒間停止！[cat:4488] [...] RIP: 0010:ring_buffer_empty_cpu+0xed/0x170 RSP: 0018:ffff88810dd6fc48 EFLAGS: 00000246 RAX: 0000000000000000 RBX: 0000000000000246 RCX: ffffffff93d1aaeb RDX: ffff88810a280040 RSI: 0000000000000008 RDI: ffff88811164b218 RBP: ffff88811164b218 R08: 0000000000000000 R09: ffff88815156600f R10: ffffed102a2acc01 R11: 0000000000000001 R12: 0000000051651901 R13: 0000000000000000 R14: ffff888115e49500 R15: 0000000000000000 [...] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007f8d853c2000 CR3: 000000010dcd8000 CR4: 00000000000006e0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 コールトレース： __find_next_entry+0x1a8/0x4b0 ? peek_next_entry+0x250/0x250 ? down_write+0xa5/0x120 ? down_write_killable+0x130/0x130 trace_find_next_entry_inc+0x3b/0x1d0 tracing_read_pipe+0x423/0xae0 ? tracing_splice_read_pipe+0xcb0/0xcb0 vfs_read+0x16b/0x490 ksys_read+0x105/0x210 ? __ia32_sys_pwrite64+0x200/0x200 ? switch_fpu_return+0x108/0x220 do_syscall_64+0x33/0x40 entry_SYSCALL_64_after_hwframe+0x61/0xc6 vmcoreの解析結果、tracing_read_pipe()内でring_buffer_empty_cpu()がいくつかのバッファが空でないことを検出する一方で、rb_num_of_entries()が常に0であるため何も読み取れず、ユーザーバッファが埋まらず無限ループが発生していることが判明しました。具体的な処理の流れは以下の通りです：tracing_read_pipe()はまずtracing_wait_pipe()で非空のバッファを検出し、次にtrace_find_next_entry_inc()がエントリを探すループを開始します。その中で__find_next_entry()はring_buffer_empty_cpu()により非空のバッファを検出しますが、peek_next_entry()は常にNULLを返します。これはrb_num_of_entries()が常に0であるためであり、結果としてユーザーバッファは埋まらず、waitagainラベルに戻って同じ処理を繰り返すため、カーネル内部でデッドループが発生します。解析により、ringbufferのリセット時にページのentriesがすべてクリアされていないこと（rb_reset_cpu()参照）が明らかになりました。その後、ringbuffer縮小時に減少したページに汚れたentriesデータが残存している場合、それがcpu_buffer-overrunに不正に加算され（rb_remove_pages()参照）、誤ったoverrunカウントとなり、最終的にデッドループが引き起こされます。この問題を修正するため、rb_reset_cpu()で全ページのentriesを確実にクリアする必要があります。

Linuxカーネルにおいて、以下の脆弱性が修正されました：scsiのsesでdesc_ptrが境界外アクセスされる可能性があります。ses_enclosure_data_process()内で発生する可能性のあるdesc_ptrの境界外アクセスを対処します。

モデムにおいて不適切なエラー処理が原因でシステムクラッシュが発生する可能性があります。これにより、攻撃者が制御する悪意のある基地局にUEが接続した場合、追加の実行権限なしでリモートからサービス拒否（DoS）を引き起こす恐れがあります。利用者が操作する必要はありません。パッチIDはMOLY01738313、問題IDはMSV-5935です。

モデムにおいて、不適切な入力検証のためシステムクラッシュが発生する可能性があります。これは、攻撃者が制御する不正な基地局にUEが接続した場合に、追加の実行権限なしでリモートサービス拒否が引き起こされる可能性があることを意味します。ユーザーは、この脆弱性を悪用するための操作が不要です。パッチIDはMOLY01738293、問題IDはMSV-5922です。

Linuxカーネルにおいて、以下の脆弱性が修正されました。ksmbdのsmbdirectモジュールに存在するsmb_direct_data_transfer構造体のdata_offsetおよびdata_lengthフィールドの検証に関する問題です。smb_direct_data_transfer構造体のdata_offsetおよびdata_lengthが無効な場合、境界外アクセスが発生する可能性があります。このパッチでは、recv_done関数内でdata_offsetおよびdata_lengthフィールドを適切に検証します。

Linuxカーネルにおいて、以下の脆弱性が修正されました：bpfのhtab_lock_bucket()からのエラーがユーザー空間に伝搬する問題です。__htab_map_lookup_and_delete_batch()内でhtab_lock_bucket()が-EBUSYを返す場合、次のバケットに進みます。次のバケットに進むことで、現在のバケット内の要素が黙ってスキップされるだけでなく、現在のbucket_cntがbucket_sizeより大きいかゼロの場合に範囲外のメモリアクセスが発生し、カーネルメモリがユーザー空間に露出する恐れがあります。修正では、htab_lock_bucket()が失敗した場合にバッチ操作を停止し-EBUSYを返すようにしており、アプリケーションが必要に応じてリトライしたり、ビジーバッチをスキップしたりできるようにしています。

Linuxカーネルのscsi: sesモジュールにおいて、ses_intf_remove()関数でスラブバッファの境界外アクセスが発生する脆弱性が修正されました。この問題は、edev-componentsがゼロの場合でもedev-component[0]のメンバーにアクセスしてしまう誤りが原因です。これにより、タスクrmmodがサイズ8の不正な読み取りを試みる可能性がありました。

Juniper Networks Junos OS および Junos OS Evolved のルーティングプロトコルデーモン(rpd)における境界外読み取りの脆弱性により、認証されていないネットワークベースの攻撃者がパケット受信トレースオプションが有効に設定されたデバイスに対して不正なBGPパケットを送信し、rpdをクラッシュさせる可能性があります。影響を受ける製品は以下の通りです。Junos OSでは、バージョン21.2R3-S8から21.2R3-S9未満、21.4R3-S7から21.4R3-S9未満、22.2R3-S4から22.2R3-S5未満、22.3R3-S2から22.3R3-S4未満、22.4R3から22.4R3-S5未満、23.2R2から23.2R2-S2未満、23.4R1から23.4R2-S1未満、24.2R1から24.2R1-S1および24.2R2が該当します。Junos OS Evolvedでは、21.4R3-S7-EVOから21.4R3-S9-EVO未満、22.2R3-S4-EVOから22.2R3-S5-EVO未満、22.3R3-S2-EVOから22.3R3-S4-EVO未満、22.4R3-EVOから22.4R3-S5-EVO未満、23.2R2-EVOから23.2R2-S2-EVO未満、23.4R1-EVOから23.4R2-S1-EVO未満、24.2R1-EVOから24.2R1-S2-EVOおよび24.2R2-EVOが影響を受けます。この問題はBGPセッションの確立を必要とします。この問題は複数のASを通じて伝播・増殖し、脆弱なデバイスに到達する可能性があります。また、この問題はiBGPおよびeBGPの両方に影響し、IPv4およびIPv6の両方に関係します。侵害の指標としては、この問題の影響を受けていない隣接ASで不正なアップデートメッセージが存在することが挙げられます。例えば、隣接デバイス上で "show log messages" コマンドを実行し、近接したデバイス間で類似のメッセージが確認できれば、この不正パケットが拡散している可能性が示唆されます。具体的なログ例としては "rpd[pid]: Received malformed update from IP address (External AS AS#)" および "rpd[pid]: Malformed Attribute" があります。

Linuxカーネルにおいて、以下の脆弱性が修正されました。hfsplusのhfsplus_uni2asc()関数におけるスラブ境界外読み取りの問題を修正しました。hfsplus_readdir()メソッドは、hfsplus_uni2asc()の呼び出しによってクラッシュを引き起こす可能性がありました。具体的には、hfsplus_uni2asc()内でスラブバッファの境界外を読み取る操作が行われ、KASANによって検出されました。問題のアドレスはkmalloc-2kキャッシュに属し、割り当てられた1036バイトの領域の直後に位置していました。このバグはファイルシステムのディレクトリエントリの読み取り時に発生し、コールトレースには多くのカーネル関数が含まれていました。この脆弱性の修正により、hfsplusファイルシステム操作の安定性と安全性が向上します。

Linuxカーネルにおいて、以下の脆弱性が修正されました： hfs_bnode_read()におけるスラブ境界外アクセスの問題を修正しました。このパッチでは、要求されたオフセット値をチェックするis_bnode_offset_valid()メソッドを導入しました。また、要求された長さをチェックし（必要に応じて修正する）check_and_correct_requested_length()メソッドも導入しました。これらのメソッドは、hfs_bnode_read()、hfs_bnode_write()、hfs_bnode_clear()、hfs_bnode_copy()、およびhfs_bnode_move()で使用され、割り当てられたメモリ外へのアクセスやクラッシュの発生を防止します。

Linuxカーネルにおいて、以下の脆弱性が修正されました：binfmt_miscのcheck_special_flags関数に存在したシフトの範囲外アクセスの問題を修正しました。UBSANは、int型では表現できない31ビット分の1を左シフトする範囲外の操作に関する警告を報告しました。コールトレースには、lib/dump_stack.c、lib/ubsan.c、fs/binfmt_misc.c、fs/read_write.c、arch/x86/entry/common.cなどの関数が含まれていました。Nodeのflagsの型はunsigned longであるため、これらのマクロも同じ型で定義されるべきです。

Linuxカーネルにおいて、net_alloc_generic関数での境界外アクセスの脆弱性が修正されました。この脆弱性は、max_gen_ptrsを複数回読み取る際に発生し、割り当てられた配列より大きな長さが設定されてしまう可能性がありました。その結果、配列アクセスが範囲外になる恐れがありました。本修正では、max_gen_ptrsを一度だけ読み取るように変更し、この問題を防止しています。

Linuxカーネルにおいて、以下の脆弱性が修正されました：blk-iocostでの範囲外シフトを回避する問題です。UBSANはblk-iocostにおける未定義動作を検出しました。これは、iocg-delayが時折大きすぎる値で右シフトされ、いくつかのアーキテクチャで未定義動作を引き起こしていたためです。[ 186.556576] ------------[ cut here ]------------ UBSAN: block/blk-iocost.c:1366:23でのシフト範囲外。shift指数64は64ビット型'u64'(別名'unsigned long long')には大きすぎます。CPU: 16 PID: 0 Comm: swapper/16 Tainted: G S E N 6.9.0-0_fbk700_debug_rc2_kbuilder_0_gc85af715cac0 #1 ハードウェア名: Quanta Twin Lakes MP/Twin Lakes Passive MP, BIOS F09_3A23 2020/12/08 Call Trace: IRQ dump_stack_lvl+0x8f/0xe0 __ubsan_handle_shift_out_of_bounds+0x22c/0x280 iocg_kick_delay+0x30b/0x310 ioc_timer_fn+0x2fb/0x1f80 __run_timer_base+0x1b6/0x250 ... シフトが大きすぎる場合は単純に"delay = 0"の分岐を取ることで未定義動作を回避しています。未定義の値となったdelayが引き起こす症状は不明ですが、デバッグにおいてかなり厄介な問題を引き起こす可能性があると考えています。

Linuxカーネルにおいて、以下の脆弱性が修正されました。usb: core: configにおいて、SSエンドポイントコンパニオンの解析における範囲外読み取り（OOB読み取り）を防止するため、usb_parse_ss_endpoint_companion()は長さの前にディスクリプタのタイプをチェックしていましたが、この処理によりバッファサイズ外の読み取りが発生する可能性がありました。この問題を修正するため、ディスクリプタ内のフィールドを参照する前に、まずサイズをチェックするように変更しました。

Linuxカーネルにおいて、次の脆弱性が修正されました。nilfs2のnilfs_sb2_bad_offset()関数におけるシフトの境界外およびオーバーフローの問題を修正しました。パッチシリーズ「nilfs2：マウント時のUBSANシフト境界外警告の修正」では、最初のパッチがsyzbotによって報告されたバグを直し、2つ目のパッチが同種の残りのバグを修正しています。これらの問題は同じスーパーブロックのデータ異常によって引き起こされますが、問題の詳細と修正方法が異なるため、2つに分かれています。両方ともマウント時のシフト境界外問題を解決するために必要です。1つ目のパッチについて説明します。オンディスクのスーパーブロックに記録されたブロックサイズ指数情報が破損している場合、nilfs_sb2_bad_offsetヘルパー関数はシフト境界外の警告を発生させ、panic_on_warnが設定されているとカーネルパニックを引き起こす可能性があります。さらに、nilfs_sb2_bad_offset()関数は上限を考慮せずに乗算を行うため、ディスクのレイアウトパラメータが正常でなければ計算がオーバーフローする恐れがありました。これらの問題は、該当パラメータに対する事前の健全性チェックを挿入し、乗算と左ビットシフトに基づく比較を除算と右ビットシフトを用いる比較に変更することで修正されました。

Juniper NetworksのJunos OSおよびJunos OS Evolvedのルーティングプロトコルデーモン(rpd)に境界外読み取りの脆弱性があります。この脆弱性により、認証されていないネットワークベースの攻撃者が細工されたBGPパケットを送信することで、rpdがクラッシュして再起動し、サービス拒否(DoS)を引き起こす可能性があります。このパケットを継続的に受信および処理することで、持続的なサービス拒否(DoS)状態が発生します。影響を受けるのは、BGPトレースオプションが有効になっているシステムまたはBGPトラフィックエンジニアリングが設定されているシステムで、任意のアドレスファミリが設定されたiBGPおよびeBGPに影響があります。影響範囲にはJunos OSとJunos OS Evolvedの特定のバージョンが含まれます。対策としては、Juniper Networksが提供する修正バージョンへアップデートすることが推奨されます。

特定のデータバッファを処理するシステムコンポーネントにおいて、複数の境界外読み取り脆弱性が確認されました。最大バッファサイズの値の検証が不十分なため、処理時に意図されたメモリ領域を超えて読み取ろうとする可能性があります。特定の条件下では、これにより影響を受けたプロセスがクラッシュし、プロセスがサービス拒否（DoS）状態を引き起こす可能性があります。

GPAC v2.4.0のoggdmx_parse_tags関数に境界外読み取りの脆弱性が存在することが発見されました。

GPAC v2.4.0のGSFデマルチプレクサフィルターコンポーネントにおける境界外読み取りにより、攻撃者が細工された.gsfファイルを介してサービス拒否（DoS）を引き起こす可能性があります。

LIBPNGは、PNG（Portable Network Graphics）ラスター画像ファイルを読み込み、作成、操作するアプリケーションで使用される参照ライブラリです。バージョン1.6.51から1.6.53にかけて、インターレースされた16ビットPNGを8ビットの出力フォーマットかつ非最小行ストライドで処理する際に、libpngの簡易API関数png_image_finish_readでヒープバッファのオーバーリードが発生します。この脆弱性はバージョン1.6.54で修正されました。

1. `https://target` に対して `secure` キーワードを使用してクッキーが設定されます。2. curl は同じクッキーを使用して `http://target`（同じホスト名ですが平文のHTTP）にリダイレクトされるか、またはやりとりを行います。3. 同じクッキー名が設定されますが、パスはスラッシュのみ（`path="/"`）に変更されます。このサイトは安全ではないため、クッキーは無視されるべきです。4. パス比較ロジックのバグにより、curl がヒープバッファの境界外を読み取ってしまいます。バグはクラッシュを引き起こすか、比較の結果を誤らせ、平文サイトが安全なクッキーの内容を上書きできる可能性があります。この動作は期待に反しており、パスを保持する単一バイト割り当ての直後のメモリ内容に依存しています。想定される正しい挙動は、セキュアなホスト上で既にセキュアとして設定されたクッキーの二度目の設定を単純に無視することであり、安全でないホスト上での上書きは許されないはずです。

Linuxカーネルのfs/ntfs3サブシステムにおいて、indx_read関数がNTFSディレクトリ操作中に返すインデックスバッファの長さ検証が不十分であった問題が修正されました。本修正ではバッファ長のサニティチェックを追加し、不正なメモリアクセスによる脆弱性を防止しています。

Linuxカーネルのsoundwireドライバーqcomにおいて、ポート設定の境界外書き込みの脆弱性が修正されました。qcom_swrm_ctrl->pconfig配列は14要素ありますが、ポート番号を1からインデックス付けしていたため、配列の境界を超えて書き込みが行われ、qcom_swrm_ctrl構造体の隣接メンバが上書きされてしまう可能性がありました。この問題はsmatchによって検出され、修正されました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。fs/ntfs3に関して、属性サイズチェックを強化しました。この修正ではオーバーフローと境界チェックを統合し、属性サイズをすべて正しく検査するようにしています。

Eclipse OMRコンパイラーコンポーネントにおいて、バージョン0.7.0以降、Zプロセッサ上のEclipse OpenJ9のOMR利用者向けに有効化された最適化が、ラテン互換文字セット（UTF-8、ISO8859-1、ASCIIなど）からIBM-1047/037への変換シーケンス中にNUL（0x00）文字を誤って処理します。これにより、出力バイト配列が切り詰められ、最初のNULバイトおよびその後のすべての文字が破棄される可能性があり、その結果バッファの過剰読み取り問題が発生する恐れがあります。この問題はEclipse OMRバージョン0.8.0で修正されました。