脆弱性情報（JVN）検索・一覧

Linuxカーネルにおいて、以下の脆弱性が修正されました。mtd: spi-nor: debugfs: spi_nor_params_show()関数における境界外読み取りの問題を修正しました。Sashikoが境界外読み取りを指摘しました[1]。spi_nor_params_show()関数では、snor_f_names配列がsizeof(snor_f_names)を用いてspi_nor_print_flags()に渡されていました。snor_f_namesはポインタの配列であるため、sizeof()は要素数ではなくポインタの総バイト数（要素数 * sizeof(void *)）を返します。64ビットシステムでは、これは意図した長さの8倍になります。spi_nor_print_flags()内で、'names_len'引数は'names'配列アクセスの境界チェックに使われます。配列の実際の要素数を超えている一方で、バイトサイズの拡大分には収まるフラグビットが設定された場合に境界外読み取りが発生します。これを修正するために、配列内の文字列ポインタの実際の数を渡すためにARRAY_SIZE()を用いています。

Linuxカーネルにおいて、コンソール回転が失敗した場合のOOBフォントアクセスを回避するためのfbconの脆弱性が修正されました。fbcon_rotate_font()内部で回転中にバッファ再割り当てが失敗した場合、フォントバッファをクリアし、回転バッファ用の処理を早期に終了するようにしています。これにより、過大なフォントバッファが保持され、大きな文字コード印刷時に発生していたバッファオーバーフローの脆弱性を解消しました。

Microsoft Office Excelにおける整数のアンダーフロー（ラップまたはラップアラウンド）により、不正な攻撃者がローカルでコードを実行できる脆弱性が存在します。

Microsoft Office Excelにおける境界外読み取りの脆弱性により、認証されていない攻撃者がネットワーク上で情報を漏洩させる可能性があります。

Microsoft Office Wordにおいて、信頼されていないポインタ参照の脆弱性が存在し、不正な攻撃者がローカルでコードを実行できる可能性があります。

NVIDIAのLinux用ディスプレイドライバーには、ユーザーが境界外読み取りを引き起こす可能性のある脆弱性があります。この脆弱性が悪用されると、サービス拒否や情報漏洩を引き起こす可能性があります。

Linuxカーネルにおいて、次の脆弱性が修正されました：drm/amdgpu/vcn4にて、decメッセージの解析時にOOB読み取りを防止します。メッセージにアクセスする際には常にBOの末尾と境界をチェックするようにしています。

Linuxカーネルにおいて、以下の脆弱性が修正されました：spi: cadence-quadspiにおけるアンバインド時のクロックなしアクセスの修正です。ドライバーのアンバインド中に、コントローラーを無効にする前にランタイムが再開されていることを確認し、クロックなしのレジスタアクセスを回避します。この問題は、コントローラーの登録解除修正をレビューしていたSashikoが指摘しました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。drm/amdgpu/vcn4にてIB解析時の範囲外読み取り（OOB読み取り）を防止しました。IB解析をamdgpu_ib_get_value()を使用するよう書き換え、その結果、境界チェックを適切に処理しています。

Linuxカーネルにおいて、次の脆弱性が修正されました：drm/amdgpu/vcn3におけるデコードメッセージを解析する際の範囲外読み取り（OOB読み取り）を防止しました。メッセージにアクセスする際は、常にBOの終端と比較して境界を確認します。

Google Chromeのバージョン149.0.7827.53以前のDevToolsにおける範囲外読み取りの脆弱性により、リモートの攻撃者が細工されたHTMLページを介してサンドボックス内で任意のコードを実行できる可能性がありました。

Google Chromeのバージョン149.0.7827.53以前のANGLEにおいて、境界外メモリアクセスの脆弱性が存在しました。これにより、リモートの攻撃者が細工されたHTMLページを介して不正に境界外メモリアクセスを実行する可能性がありました。

Google Chromeのバージョン149.0.7827.103以前のWebRTCにおける境界外読み取りの脆弱性により、リモートの攻撃者が細工されたHTMLページを介してGPUプロセスを侵害し、ヒープ破損を悪用する可能性がありました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。ipv6: fib6_add_rt2node()における境界外アクセスの問題です。syzbotによりfib6_add_rt2node()での境界外読み取りが報告されました。[0] IPv6ルートがRTA_NH_ID付きで作成されると、構造体fib6_infoには末尾のfib6_nh構造体が存在しません。指摘されたコミットでは、rt6_qualify_for_ecmp()がiterに対してfalseを返すことを保証するために!iter-fib6_nh-fib_nh_gw_familyをチェックし始めました。しかし、iter-nhがNULLでなければ、rt6_qualify_for_ecmp()はどのみちfalseを返します。そこで、iter-fib6_nhを読み込む前にiter-nhを確認し、境界外読み取りを回避するようにしました。[0]: BUG: KASAN: slab-out-of-bounds in fib6_add_rt2node+0x349c/0x3500 net/ipv6/ip6_fib.c:1142 サイズ1の読み取りがアドレスffff8880384ba6deでタスクsyz.0.18/5500によって実行されました。CPU: 0 UID: 0 PID: 5500 コミュニティ: syz.0.18 タイントされていません syzkaller #0 PREEMPT(full) ハードウェア名: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.16.3-debian-1.16.3-2 2014/04/01 コールトレースなど詳細は省略しますが、メモリの安全性を確保するため、fib6_add_rt2node()内でのポインタ検査を強化し、境界外アクセスを防止しました。

Linuxカーネルのdrm/amd/displayで、範囲外のストリームエンコーダーインデックスアクセスの脆弱性が修正されました。eng_idが負の値になる可能性があり、サイズ5のstream_enc_regs配列に範囲外アクセスが発生する恐れがありました。この問題は、eng_idを使用する前に明示的な範囲チェックと符号なしキャストを追加することで修正されました。これにより、不正なメモリアクセスを防止し、システムの安定性とセキュリティを向上させました。

Ubuntu Linux 6.8、6.17および7.0にはAppArmor SAUCEパッチが含まれており、このパッチが内部バッファのサイズを誤って計算する可能性があります。その結果、通知処理コードでヒープメモリの境界外読み取りが発生することがあります。このバグは権限のないローカルユーザーによって引き起こされる可能性があり、AppArmorのDFAポリシーエンジンが無効なデータを処理してしまう原因となる可能性があります。

Google Chromeのバージョン149.0.7827.53以前のWebGPUには境界外読み取りの脆弱性が存在し、リモートの攻撃者が細工されたHTMLページを介して境界外メモリを読み取ることが可能でした。

Google Chrome のバージョン 149.0.7827.53 より前の ANGLE において、境界外読み取りの脆弱性が存在し、リモートの攻撃者が細工された HTML ページを介して境界外メモリを読み取ることができました。

149.0.7827.53より前のGoogle ChromeのLiveCaptionにおける不適切な実装により、リモートの攻撃者が悪意のあるネットワークトラフィックを介して境界外メモリアクセスを実行する可能性がありました。

7-Zipは高い圧縮率を持つファイルアーカイバです。バージョン9.34から26.00までには、32ビットビルドにおけるSquashFSフラグメントオフセットの整数オーバーフローによりヒープメモリ情報漏洩の脆弱性が存在します。SquashFSのReadBlock関数で発生する32ビット整数オーバーフローにより、攻撃者が制御するnode.Offset値がフラグメント境界チェックを回避でき、memcpyがキャッシュバッファの前のヒープメモリを抽出ファイルに読み込んでしまいます。この脆弱性は、size_tが32ビットである7-Zipの32ビットビルドでのみ悪用可能で、offsetInBlock + blockSizeの加算が2の32乗でモジュロ演算としてラップアラウンドしてしまいます。64ビットビルドでは加算が64ビットに昇格され、チェックが正しく入力を拒否します。バージョン26.01でこの問題は修正されました。

7-Zipは高い圧縮率を持つファイルアーカイバです。バージョン9.34から26.00にかけて、WIM（Windows Imaging）アーカイブハンドラのセキュリティディスクリプタルックアップにおいて、ヒープベースのオフバイワンの境界外読み取り脆弱性が含まれていました。CHandler::GetSecurity（CPP/7zip/Archive/Wim/WimHandler.cpp）では、各イメージのSecurOffsetsテーブルはnumEntries + 1個の累積オフセットを保持していますが、チェックのsecurityId = SecurOffsets.Size()はsecurityId == numEntriesを許容します。そのため、関数はSecurOffsets[securityId + 1]を読み取り、ヒープ割り当てされたCRecordVectorの末端の1つ先のUInt32を取得します。operator[]では境界チェックが行われません。securityIdはWIMメタデータ内の任意のディレクトリエントリのオフセット+0xCで攻撃者に制御されており、ハンドラは.wim、.swm、.esd、および.ppkgに登録され、標準の7z.dllでデフォルトで有効です。この境界外読み取りはGUIのゼロクリックでトリガーされます。7zFM.exeのListViewはリスト表示時に全アイテムに対してGetRawProp(kpidNtSecure)を呼び出すため（ASan確認済み）、CLIの7zz l -sltコマンドによるリスト表示でも実行されます。影響は強化されたアロケータ下でのサービス妨害に限定されます。境界外の値は算術的に長さとしてのみ使用され、攻撃者に直接示されないため、軽微な情報漏洩も発生しますが、書き込みプリミティブは存在しません。

7-Zipは高い圧縮率を持つファイルアーカイバです。バージョン9.21から26.00までには、UEFIファームウェアイメージパーサ（CPP/7zip/Archive/UefiHandler.cpp）のParseDepedencyExpression関数にオフバイワンの境界外読み取り脆弱性が存在します。この関数は10エントリのkExpressionCommands静的配列の要素数に対して、=ではなくを使用して攻撃者が制御するオペコードバイトを検証するため、オペコード値10が配列の終わりの1ポインタスロット（x64では8バイト）を.rodata上で読み取ることを許してしまいます。境界外の値はconst char *として逆参照され、その後strlenとmemcpyを経てアーカイブのCharactsプロパティに渡されます。これにより、隣接するバイトが有効な読み取り可能なポインタを形成しない場合にはサービス拒否（アクセス違反）を引き起こし、隣接する.rdataの文字列リテラルがアーカイブのメタデータに少量漏洩する可能性があります。この脆弱性は、SECTION_DXE_DEPEX（0x13）またはSECTION_PEI_DEPEX（0x1B）セクションの最初の本文バイトが0x0Aである場合にOpenFv/OpenCapsule → ParseVolume → ParseSectionsの呼び出し経路を通じてIInArchive::Open()時に自動的に利用されます。UEFIハンドラは標準の7z.dllでUEFIcとUEFIfの両形式に対するシグネチャベースの検出がデフォルトで有効です。結果（クラッシュか無音の情報漏洩か）はビルドごとに決定されますがリンカのレイアウト依存であり、書き込みプリミティブの発生やヒープデータ、秘密情報、ASLRベースアドレスの漏洩はありません。バージョン26.01でこの問題は修正されています。

Google ChromeのMac版バージョン149.0.7827.53以前のANGLEにおける境界外読み取りの脆弱性により、リモートの攻撃者は細工されたHTMLページを介して境界外のメモリを読み取ることが可能でした。

Google Chromeのバージョン149.0.7827.53以前のDawnにおいて、不正な型変換が存在し、リモートの攻撃者が細工されたHTMLページを介してサンドボックス内で任意のコードを実行できる可能性がありました。

Google Chromeのバージョン149.0.7827.53以前のGPUにおける整数オーバーフローにより、リモートの攻撃者が細工されたHTMLページを介してレンダラプロセスを侵害し、サンドボックスを脱出する可能性がありました。

Google Chromeのバージョン149.0.7827.53以前のANGLEにおける境界外読み取りにより、リモートの攻撃者が細工されたHTMLページを通じてレンダラープロセスを侵害し、サンドボックスから脱出を実行する可能性がありました。この脆弱性はChromiumセキュリティにおいて重大と評価されています。

Google Chromeのバージョン149.0.7827.53以前のDawnには境界外読み取りの脆弱性があり、レンダラプロセスを侵害したリモート攻撃者が細工されたHTMLページを介してサンドボックスから脱出を実行できる可能性がありました。

msgpackデコーダは、切り詰められたfixextデータ（フォーマットコード0xd4-0xd8）を処理する際に、入力バッファ長を適切に検証しません。この問題により、境界外読み取りやランタイムパニックが発生し、サービス拒否攻撃を引き起こす可能性があります。

Google Chrome 148.0.7778.216以前のGPUにおける範囲外読み取りの脆弱性により、リモート攻撃者が細工されたHTMLページを介してレンダラープロセスを乗っ取り、サンドボックスのエスケープを行う可能性がありました。

Nozomi Networks Labsは、バージョン7.10.0.0 R2601141040のWaterfall WF-500 RX HostにCWE-125: 範囲外読み取りの脆弱性を特定しました。この脆弱性により、TX Hostへのアクセス権を持つ攻撃者がRX Host上でコードを実行できる可能性があります。

Linuxカーネルにおいて、以下の脆弱性が修正されました。bpf: cgroupローカルストレージにおける範囲外アクセスの問題です。Lonialは、テイルコールを介してcgroupローカルストレージに範囲外アクセスが発生する可能性があることを報告しました。異なる値サイズのcgroupローカルストレージを利用する2つのプログラムがあり、一方のプログラムがもう一方に対してテイルコールを行う場合、検証器はそれぞれのプログラムを問題なく検証します。しかし、実行時コンテキストではbpf_cg_run_ctxがbpf_prog_array_itemを保持しており、これはBPFプログラムおよびプログラムが使用するcgroupローカルストレージのフレーバーを含んでいます。bpf_get_local_storage()などのヘルパーは実行時コンテキストからこれを取得します。具体的には、ctx = container_of(current-bpf_ctx, struct bpf_cg_run_ctx, run_ctx); storage = ctx-prog_item-cgroup_storage[stype]; if (stype == BPF_CGROUP_STORAGE_SHARED) ptr = &READ_ONCE(storage-buf)-data[0]; else ptr = this_cpu_ptr(storage-percpu_buf);元のプログラムから呼び出された2番目のプログラムに対して、bpf_get_local_storage()は自身のマップではなく、前のプログラムのマップを取得してしまいます。サイズの不一致により、意図しない範囲外アクセスが発生する可能性があります。この問題を修正するために、bpf_map_ownerを拡張し、storage_cookie[]の配列を追加しました。これにより、(i) 2番目のプログラムがbpf_get_local_storage()を使用した場合に元のプログラムの正確なマップと照合し、(ii) 2番目のプログラムがcgroupローカルストレージマップを使用していなかった場合にはテイルコールの組み合わせを許可する仕様に改善しました。

ResourceTypes.cppのvalidateNodeにおいて、不正な境界チェックにより範囲外読み取りが発生する可能性があります。これにより、追加の実行権限を必要とせずにローカルで権限昇格が起こる可能性があります。利用者は悪用のための操作を行う必要がありません。

Google Chromeのバージョン148.0.7778.216以前のHeadlessにおける範囲外読み取りにより、レンダラープロセスが侵害される可能性がありました。リモート攻撃者は、細工されたHTMLページを介してサンドボックスから脱出できる可能性がありました。

エスケープ操作のためのIOCTL呼び出しを処理中にメモリが破損する。

LinuxカーネルのAppArmorにおけるunpack_pdb関数では、信頼されていないデータから読み取られたDFAの開始状態が範囲外になることを検証していませんでした。このため、範囲外読み取りの脆弱性が存在しました。この問題により、aa_dfa_next関数が不正な状態テーブルにアクセスし、カーネルのメモリ破壊や脆弱性を引き起こす可能性がありました。本脆弱性は、unpack_pdb関数が範囲外の開始状態を持つポリシーを拒否することで対処されました。

Linuxカーネルにおいて、次の脆弱性が修正されました：accel/amdxdnaのコマンドスロット処理における範囲外のmemsetの問題です。コマンドスロットの残りの空き領域がコマンドヘッダーのサイズより小さい場合があります。使用可能なスロット領域を検証する前にmemset()でコマンドヘッダーをクリアすると、範囲外書き込みおよびメモリ破損が発生する可能性がありました。この問題は、サイズ検証の後にmemset()呼び出しを移動することで修正しました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。bpf: BPF_END値トラッキングのためのレジスタIDリセットに関する問題です。BPF_END（バイトスワップ）操作が行われると、そのレジスタのスカラー値がインプレースで変異します。もしこのレジスタが以前に別のレジスタとスカラーIDを共有していた場合（例：`r1 = r0`の代入後など）、この結びつきを切断する必要があります。現在、検証器はBPF_ENDの場合に`dst_reg-id`を0にリセットする処理を欠いていました。その結果、条件ジャンプがスワップされたレジスタを検査すると、検証器は誤って学習した境界をリンクされたレジスタに伝播させてしまい、リンクされたレジスタの値に誤った信頼を与えてしまいます。そのため、境界外のメモリアクセスを許してしまう可能性がありました。これを解決するために、BPF_ENDの場合に`dst_reg-id`を明示的に0にリセットしてスカラーの結びつきを断ち切る修正を行いました。この対応方法は、BPF_NEGが`__mark_reg_known`を使って処理する方法に類似しています。

Windows上のGoogle Chrome 148.0.7778.216以前のバージョンに含まれるANGLEの境界外読み取りの脆弱性により、リモートの攻撃者が細工されたHTMLページを介して任意のコードを実行する可能性がありました。

Linuxカーネルにおける脆弱性は、rocket_probeのエラーパスの巻き戻し処理の修正に関するものです。rocket_core_init()関数が失敗した場合、インクリメントしたカウンターを正しくデクリメントして巻き戻さなければなりません。また、最初にプローブに失敗したコアの場合は、rocket_device_fini()でデバイスを削除する必要があります。この修正によって、範囲外アクセスの問題が解決されました。

Linuxカーネルにおいて、stagingのrtl8723bsドライバのrtw_restruct_wmm_ie関数に潜在的な境界外読み取りの脆弱性が修正されました。この脆弱性は、配列アクセス時のインデックスチェックの順序が不適切であったことに起因しています。条件文の順序を修正し、インデックスが配列長内であることを先に確認することで、この問題を解決しました。