脆弱性情報（JVN）検索・一覧

Linuxカーネルにおいて、以下の脆弱性が修正されました。nvme-pciのnvme_dbbuf_set関数内で発生していたスラブ境界外アクセスの問題を修正しました。dev-online_queuesはnvme_init_queue関数内でインクリメントされるカウントであり、有効なインデックスは0からdev-online_queues−1までです。本パッチはループ条件を修正し、インデックスが有効範囲内に収まるようにしました。インデックス0は管理キューのため除外されています。KASANエラーの内容は、nvme_dbbuf_free関数の377行目とnvme_dbbuf_set関数の404行目でスラブ境界外アクセスが検出されたことです。サイズ2の読み込みがタスクkworker/u8:5によって行われました。問題のアドレスは、サイズ2048のkmalloc-2kキャッシュ内の領域[ffff88800592a000, ffff88800592a480)の1152バイト割り当て範囲の右244バイト外に位置していました。この問題はnvme_pciドライバのオンラインキュー管理におけるインデックス計算の不備によって発生しました。パッチにより正しい範囲チェックが追加され、不正アクセスが防止されました。

Linuxカーネルにおいて、次の脆弱性が修正されました。netfilterのnfnetlink_cthelperにあるnfnl_cthelper_dump_table()関数内で範囲外読み取り（OOB読み取り）が発生する問題が解決されました。nfnl_cthelper_dump_table()関数にはforループ本体内のラベルへ飛ぶ「goto restart」が存在します。cb-args[1]に保存された「last」ヘルパーがダンプラウンド間で削除されると、すべてのエントリが(cur != last)チェックに失敗し、cb-args[1]がクリアされません。forループはcb-args[0]がnf_ct_helper_hsizeと等しい状態で終了し、「goto restart」は境界チェックをバイパスしてループ本体に戻るため、nf_ct_helper_hash[nf_ct_helper_hsize]に対して8バイトの範囲外読み取りが発生します。この「goto restart」ブロックは、「last」が見つからなくなったときに現在のバケットを再度走査するためのものでしたが、forループの外に配置されていました。修正により、このブロックはforループ内に移動され、cb-args[0]が範囲内にある場合にのみ再起動が発生するようになりました。BUG: KASANによりnfnl_cthelper_dump_table+0x9f/0x1b0でslab-out-of-boundsが検出されました。サイズ8の読み取りがaddr ffff888104ca3000でtask poc_cthelper/131によって実行されました。コールトレースはnfnl_cthelper_dump_table+0x9f/0x1b0、netlink_dump+0x333/0x880、netlink_recvmsg+0x3e2/0x4b0、sock_recvmsg+0xde/0xf0、__sys_recvfrom+0x150/0x200、__x64_sys_recvfrom+0x76/0x90、do_syscall_64+0xc3/0x6e0の順です。タスク1は__kvmalloc_node_noprof+0x21b/0x700、nf_ct_alloc_hashtable+0x65/0xd0、nf_conntrack_helper_init+0x21/0x60、nf_conntrack_init_start+0x18d/0x300、nf_conntrack_standalone_init+0x12/0xc0で確保されました。

Linuxカーネルにおいて、以下の脆弱性が修正されました：netfilterのnft_set_pipapoサブシステム内に存在したpipapo_drop()関数におけるスタックの境界外読み取りの問題です。pipapo_drop()はすべての反復でrulemap[i + 1].nをpipapo_unmap()のto_offset引数として渡していました。最後の反復（i == m-field_count - 1）も含まれていました。これにより、スタック上に確保されたrulemap配列（rulemap[NFT_PIPAPO_MAX_FIELDS]として宣言され、NFT_PIPAPO_MAX_FIELDSは16です）を1要素分超えて読み込むことが発生していました。pipapo_unmap()はis_lastがtrueの場合、to_offset値を使用せずに早期リターンしますが、引数は関数本体が実行される前に呼び出し元で評価されるため、本物のスタックの境界外読み取りとなっており、KASANによって検出されました。具体的には、BUG: KASAN: stack-out-of-bounds in pipapo_drop+0x50c/0x57c [nf_tables]、サイズ4の読み取りがアドレスffff8000810e71a4で発生しました。このフレームには1つのオブジェクトがあり、その範囲は[32, 160)の'rulemap'です。バグのあるアドレスはオフセット164で、rulemap配列の末尾を正確に4バイト超えています。問題を解決するために、最終反復時にはrulemap[i + 1].nの代わりに0を渡すことで境界外読み取りを回避しました。

148.0.7778.179 より前の Google Chrome の GPU における範囲外読み取りの脆弱性により、リモート攻撃者が細工された HTML ページを介してヒープ破損を悪用できる可能性がありました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。bpf: BPF_OR用のmaybe_fork_scalars()における不適切なスカラー分岐を修正しました。maybe_fork_scalars()はソースオペランドが定数の場合にBPF_ANDおよびBPF_ORの両方で呼び出されます。dstの符号付き範囲が[-1, 0]の場合、検証状態を分岐させます。分岐先のパスはdst=0、現在のパスはdst=-1となります。BPF_ANDの場合、これは正しく（0 & K == 0）ですが、BPF_ORの場合は誤っています（0 | K == Kであり0ではありません）。したがって分岐先のパスは実行時の値がKであるにもかかわらずdstを0として追跡し、検証器と実行時の不整合を生み、境界外のマップアクセスを可能にする悪用可能な状態を作り出していました。この問題は、push_stack()にenv-insn_idx（env-insn_idx + 1ではなく）を渡すことで修正されており、分岐先のパスがdst=0でALU命令を再実行し、任意のオペコードに対して自然に正しい結果を計算するようになりました。

Linuxカーネルにおいて、以下の脆弱性が修正されました：usbクラスのcdc-wdmに関する読み取りコードパスの順序を入れ替える問題の修正です。バグレポートによると、コンパイラの最適化またはCPUのアウトオブオーダー実行により、desc-lengthの更新がmemmoveの前に再順序される可能性がありました。これが発生すると、wdm_read()は新しい長さを参照し、初期化されていないメモリに対してcopy_to_user()を呼び出すことがありました。この動作はLKMMのデータ競合ルール[1]にも違反していました。この問題は、WRITE_ONCEとメモリバリアを使用して修正されました。

Linuxカーネルにおいて、以下の脆弱性が修正されました：netfsにおけるリトライ中の読み取り放棄の問題です。特定の状況下で、読み取りリクエストの残りのすべてのサブリクエストがリトライ中に放棄されてしまいます。放棄処理は、'subreq'変数が放棄を開始する位置に設定されていることを想定していますが、常に有用な値を持っているわけではありません（最初のループ通過時には未初期化であり、後の通過時には削除されたサブリクエストを指している場合があります）。"abandon:"への最初のジャンプ時に、subreqをリトライが必要な最初のサブリクエストの開始位置に設定するよう修正しました（この放棄ケースでは予期せずNEED_RETRYが設定されていませんでした）。また、余分なリトライ可能なサブリクエストを破棄した後にsubreqポインタをクリアし、アクセスしようとした場合にはoops（カーネルエラー）が発生するようにしました。

Microsoft Office Excelのバッファ外読み取りにより、権限のない攻撃者がローカル情報を漏洩する可能性があります。

Linuxカーネルにおいて、以下の脆弱性が修正されました。hwmonの(pmbus/q54sj108a2) debugfs読み取り時に発生するスタックバッファオーバーフローの問題です。q54sj108a2_debugfs_read関数は、bin2hex()に誤った引数を渡していたため、スタックバッファオーバーフローが発生していました。この関数では現在、'data'を出力先、'data_char'を入力元として渡しています。bin2hex()は入力バイトごとに2つの16進文字を生成するため、32バイトのブロック読み取りで64バイトの出力となります。しかし、'data'は34バイト（I2C_SMBUS_BLOCK_MAX + 2）のサイズしかなく、そのためバッファの末端から30バイト分がスタック上に書き込まれてしまいます。さらに、引数の順序が逆であったため、初期化済みのゼロの'data_char'から読み込み、'data'に書き込んでおり、実際のI2C読み取りに関係なく全てゼロが出力されていました。これを修正するために、以下の対応を行いました。1. 'data_char'のサイズを66バイトに拡張し、16進出力を安全に格納可能にしました。2. bin2hex()の引数の順序を正しくし、実際の読み取りバイト数を使用しました。3. 最終的なsimple_read_from_bufferの呼び出しで正しい出力バッファを指すポインタを使用しています。

NanaZipはオープンソースのファイルアーカイブソフトウェアです。バージョン5.0.1252.0から6.0.1698.0未満までの間に、NanaZipのZealFSファイルシステムイメージパーサーにスタックベースの境界外読み取りの脆弱性が存在していました。この脆弱性は、細工されたZealFS v1ファイルシステムイメージを開くことで引き起こされます。ファイルヘッダー内の攻撃者が制御するBitmapSizeフィールドが、スタックに割り当てられたZEALFS_V1_HEADER構造体の末尾を越えて読み取る終わりのないループを誘発します。この脆弱性はバージョン6.0.1698.0で修正されました。

Ashlar-Vellum の Cobalt、Xenon、Argon、Lithium、および Cobalt Share バージョン 12.6.1204.216 以前には、境界外読み取りの脆弱性が存在します。この脆弱性により、特別に細工された VC6 ファイルが解析される際に、攻撃者が情報を開示したり、任意のコードを実行したりする可能性があります。

Ashlar-Vellum Cobalt、Xenon、Argon、Lithium、およびCobalt Shareのバージョン12.6.1204.216以前には、境界外読み取りの脆弱性が存在します。この脆弱性により、特別に細工されたVC6ファイルが解析される際に、攻撃者は情報を漏洩させたり、任意のコードを実行したりすることが可能です。

範囲外読み取りの問題は、改善された範囲チェックによって対処されました。この問題はiOS 16.5およびiPadOS 16.5、macOS Ventura 13.4、tvOS 16.5、visionOS 1.0、watchOS 9.5で修正されています。この問題により、アプリケーションがサービス拒否（DoS）を引き起こす可能性があります。

bareboxのバージョン2026.04.0以前には、fs/ext4/ext4_common.c内のeh_entriesフィールドがバッファの容量と比較して検証されていないため、ext4のエクステント解析において境界外読み取りの脆弱性があります。攻撃者はUSB、SDカード、またはネットワークブートを介して悪意のあるext4ファイルシステムイメージを提供でき、ブート時のファイルシステム解析中にヒープの境界外読み取りを引き起こすことが可能であり、それによって読み取りを任意のディスクオフセットにリダイレクトする危険があります。

Linuxカーネルにおいて、次の脆弱性が修正されました：ntb: ntb_hw_switchtecにおけるMW LUTの0に対するシフト範囲外アクセスの問題です。MW LUTの数はNTBの設定に依存し、ゼロに設定されることがあります。その場合、rounddown_pow_of_two関数を実行すると未定義の動作が発生する可能性があり、その関数を実行してはいけません。このパッチは、rounddown_pow_of_twoが有効な値に対してのみ呼び出されることを保証します。

境界チェックが改善され、境界外読み取りの問題が解決されました。この問題はiOS 26.5、iPadOS 26.5、macOS Tahoe 26.5、tvOS 26.5、およびwatchOS 26.5で修正されています。アプリが予期しないシステム終了を引き起こしたり、カーネルメモリを読み取ったりする可能性がありました。

Open5GS 2.7.7までのバージョンに脆弱性が検出されました。この脆弱性は、コンポーネントNFのライブラリlib/sbi/client.c内の関数ogs_sbi_client_send_via_scp_or_seppに影響を与えます。操作を行うことで境界外読み取りが発生します。この攻撃はリモートで実行可能です。対策パッチはd5bc487fcf9ea87d2b03f2ef95123af344773bfbという名前で提供されています。この問題に対処するため、パッチの適用を推奨します。

Linuxカーネルにおいて、以下の脆弱性が修正されました。hwmon: (tps53679) ゼロ長ブロック読み取りによる配列アクセスの問題を修正しました。i2c_smbus_read_block_data()は0を返すことがあり、これはゼロ長の読み取りを示しています。この場合、tps53679_identify_chip()がbuf[ret - 1]にアクセスしますが、buf[-1]となり、スタック上のバッファの1バイト前を読み取ってしまいます。修正ではチェック条件を"ret 0"から"ret = 0"に変更し、ゼロ長の読み取りをエラー(-EIO)として扱うことで、境界外の配列アクセスを防止しています。また、隣接するコメントの誤字も修正し、「if present」の重複を取り除きました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。io_uring/rsrcでは、長さが0の固定バッファインポートを拒否します。validate_fixed_range()はlenが0の場合、登録された領域の正確な終端にbuf_addrを許可してしまいます。これは、チェックが厳密な大なり（buf_end imu-ubuf + imu-len）を使用しているためです。io_import_fixed()はその後、offset == imu-lenを計算し、これによりbvecスキップロジックが最後のbio_vecエントリを越えて進み、範囲外のスラブメモリからbv_offsetを読み取ってしまいます。lenが0の場合、io_import_fixed()は早期にリターンします。これは長さ0のインポートが転送するデータがなく、bvec配列を全く走査すべきでないためです。バグの内容は、KASANがio_import_reg_buf+0x697/0x7f0でスラブ範囲外読み取りを検出したことです。タスクpoc/103によってアドレスffff888002bcc254からサイズ4の読み取りが行われました。コールトレースは以下の通りです：io_import_reg_buf+0x697/0x7f0、io_write_fixed+0xd9/0x250、__io_issue_sqe+0xad/0x710、io_issue_sqe+0x7d/0x1100、io_submit_sqes+0x86a/0x23c0、__do_sys_io_uring_enter+0xa98/0x1590。タスク103によって割り当てられた領域の12バイト右側に問題のアドレスがあります。割り当てられた584バイトの領域は[ffff888002bcc000, ffff888002bcc248)です。

Linuxカーネルにおいて、以下の脆弱性が修正されました。netfilter: nf_conntrack_h323のdecode_choice()関数内で発生していた範囲外読み取り（OOB読み取り）の問題です。decode_choice()関数では、get_len()の前の境界チェックで、関数冒頭で初期化されたままの変数`len`（値は0）を使用していました。具体的には、unsigned int type, ext, len = 0; ... if (ext || (son-attr & OPEN)) {BYTE_ALIGN(bs); if (nf_h323_error_boundary(bs, len, 0)) /* ここでlenは0 */ return H323_ERROR_BOUND; len = get_len(bs); /* OOB読み取り */}ビットストリームがちょうど消費され（bs-cur == bs-end）た場合、nf_h323_error_boundary(bs, 0, 0)の判定は(bs-cur + 0 bs-end)となり、falseになります。これにより、その後のget_len()呼び出しは*bs-cur++を逆参照し、バッファの終端を1バイト越えて読み取ってしまいます。もし読み取ったバイトのビット7がセットされている場合、get_len()はさらに2バイト目も読み取ります。この問題は、nf_conntrack_h323ヘルパーが有効なファイアウォールを介して、PERエンコードされた2バイト（{0x08, 0x00}）のUser-User Information Elementを含む細工されたQ.931 SETUPメッセージをポート1720に送信することでリモートから引き起こすことができます。デコーダはPERバッファを完全に消費した後にこのコードパスに達するため、1から2バイトのヒープバッファオーバーフロー読み取りが発生し、AddressSanitizerによって検出されました。この問題は、初期化されていない`len`の代わりにget_len()が読み取る可能性のある最大2バイトをチェックすることで修正されました。この修正は、同じファイルの他のget_len()呼び出し箇所で用いられている、呼び出し前に利用可能なデータが2バイト以上あることを確認するパターンと一致しています。

PHPのバージョン8.2.*の8.2.31未満、8.3.*の8.3.31未満、8.4.*の8.4.21未満、および8.5.*の8.5.6未満において、urldecode()を含むいくつかの関数は符号付きcharをctype関数（例えばisxdigit()）に渡します。デフォルトで符号付きcharを使用し、最適化されたテーブルルックアップctype関数を持つシステム（NetBSDなど）では、これにより負のオフセットの配列アクセスが発生し、サービス拒否（DoS）を引き起こす可能性があります。

Linuxカーネルにおいて、以下の脆弱性が修正されました。ALSAのcaiaqでのinit_card関数におけるスタックの境界外読み取りの問題です。このループはカードの短縮名から空白を除去したコピーを作成しますが、境界チェックに`len sizeof(card-id)`を使用していました。sizeof(card-id)は16であり、ローカルのidバッファも16バイトです。そのため、16文字の空白以外の文字を書き込むとバッファ全体が埋まり、終端のヌルバイトが上書きされてしまいます。その後、このヌル終端されていない文字列がsnd_card_set_id()からcopy_valid_id_string()に渡されると、`while (*nid && ...)`のループによりスタックバッファの終端を越えて読み取り、スタックの内容を読み出してしまいます。多くの非ASCIIかつ非空白文字（例えばマルチバイトUTF-8）を含む製品名のUSBデバイスでは、以下のように確実にこの問題が発生します。BUG: KASAN: stack-out-of-bounds in copy_valid_id_string sound/core/init.c:696 [inline] BUG: KASAN: stack-out-of-bounds in snd_card_set_id_no_lock+0x698/0x74c sound/core/init.c:718。オフバイワン問題は2009年6月（v2.6.31-rc1）のコミットbafeee5b1f8d（"ALSA: snd_usb_caiaq: give better shortname"）以来存在していました。この空白除去ループを最初に導入したコードは、コピーの際にヌル終端文字を考慮していませんでした。本問題はループの境界値を`sizeof(card-id) - 1`に変更し、少なくとも1バイトをヌル終端のために確保することで修正されました。

LinuxカーネルのWi-Fiドライバーであるiwlwifiのiwl_mvm_nd_match_info_handler()関数に潜在的な境界外読み取りの脆弱性が存在していました。この問題はmemcpy関数がコピーするバイト数以上のサイズの配列を仮定していたことと、パケット長の検証が不十分であったことが原因です。適切なバリデーションチェックを追加することで安全性が向上しました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。perf/x86のintel_pmu_hw_configにおける潜在的な不正なcontainer_ofの問題を修正しました。自動カウンターリロードでは、ソフトウェアイベントを含むイベントのグループが存在することがあります。ソフトウェアイベントPMUはx86_hybrid_pmuではなく、intel_pmu_set_acr_caused_constr内（ハイブリッドヘルパー経由）でのcontainer_of操作が境界外メモリ読み取りを引き起こす可能性がありました。これを防ぐために、intel_pmu_set_acr_caused_constrへの呼び出しはis_x86_eventチェックで保護されています。

gobgp v4.3.0 の ParseIP6Extended 関数 (/bgp/bgp.go) における境界外読み取りの脆弱性により、攻撃者は細工された BGP UPDATE メッセージを提供してサービス拒否（DoS）を引き起こす可能性があります。

Linuxカーネルにおいて、以下の脆弱性が修正されました。netfilterのxt_tcpmssにおいて、optlenを読み取る前に残りの長さをチェックするように改善されました。報告者によると、net/netfilter/xt_tcpmss.cの53から68行目で、TCPオプションパーサは残りのオプション長を検証せずに直接op[i+1]を読み取っていました。オプションフィールドの最後のバイトがEOLまたはNOP（0または1）でない場合、コードはop[i+1]にアクセスしようとします。i + 1がoptlenと等しい場合、これは境界外読み取りを引き起こし、optlenの境界を超えたメモリ（スタックバッファの_optまたは後続のペイロード）を読み取ってしまう可能性がありました。

Linuxカーネルにおいて、media: qcom: camss: vfe: vfe_isr_reg_update() 関数の境界外アクセスの脆弱性が修正されました。vfe_isr() 関数は MSM_VFE_IMAGE_MASTERS_NUM(7) をループの上限として使用し、vfe-line[] 配列の境界を超えるインデックスでアクセスしていましたが、vfe-line[] は VFE_LINE_NUM_MAX(4) で定義されています。この問題は、出力ラインと書き込みマスターを別々のループで処理することにより修正されました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。ntb: ntb_hw_switchtecにおける配列の境界外アクセスの問題が修正されました。MW LUTの数はNTB構成に依存し、MAX_MWSに設定可能です。このパッチはmw_sizesへの無効なインデックスによる境界外アクセスから保護します。無効なアクセスが発生した場合は、設定が無効であることをユーザーに通知します。

Linuxカーネルのnetfilterのctnetlinkサブシステムに存在する脆弱性が修正されました。この脆弱性は、新しい期待値に対して明示的なヘルパーを無視する不具合に起因し、期待値の検証時に境界外のカーネルメモリを読み取る可能性がありました。この問題は、既存のマスターコネクトラックヘルパーのみを使用し、それ以外のユーザー空間によるヘルパーの提案を無視することで解決されました。これにより、カーネルのメモリ安全性が向上しました。CTA_EXPECT_HELP_NAMEは引き続きnetlinkダンプを通じてユーザー空間にヘルパー名を提供するために使用されています。

Linuxカーネルにおいて、以下の脆弱性が修正されました。mplsのplatform_labelペアを保護するためにseqcountが追加されました。RCU保護されたコードパス（mpls_forward、mpls_dump_routes）は、同時リサイズ（platform_mutexの下でのresize_platform_label_table）が発生した場合にplatform_labelsとplatform_labelの不整合な表示が起こる可能性があります。この不整合により、境界外アクセス（OOB）が発生する恐れがあります。このパッチはseqcountを追加し、一貫したスナップショットが取得できるようにします。なお、mpls_label_okも影響を受けるため、platform_mutexの外で行われるrtm_to_route_configのRTA_DSTに対するチェックは十分ではありません。この値はmpls_route_addおよびmpls_route_delの両方で再度mpls_label_okに渡されるため問題はありませんが、追加のチェックを削除してはいけません。

Linuxカーネルにおいて、以下の脆弱性が修正されました。fs/smb/clientのcifs_sanitize_prepath関数内で発生していた境界外読み取りの問題です。cifs_sanitize_prepathが空文字列または区切り文字のみ（例："/"）を含む文字列で呼び出された場合、現在のロジックはcursor2が進む前に*(cursor2 - 1)をチェックしようとし、その結果境界外読み取りが発生しました。このパッチでは、先頭の区切り文字を取り除いた後に早期終了チェックを追加し、パスの内容が残っていなければ関数はNULLを返すように修正しています。このバグは手動監査によって特定され、AddressSanitizerでコンパイルしたスタンドアロンのテストケースを用いて検証され、影響を受ける入力でSEGVが発生することを確認しました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。mailbox: mchp-ipc-sbiのmchp_ipc_get_cluster_aggr_irq()関数における範囲外アクセスの問題を修正しました。cluster_cfg配列はオンラインCPUの数に基づいて各CPUごとの構成構造体を格納するために動的に割り当てられます。従来、この配列はhartidをインデックスとして使用していましたが、hartidは連続していなかったり配列の範囲を超える可能性があり、範囲外アクセスが発生していました。有効な範囲が保証されているfor_each_online_cpu()によって提供されるcpuidをインデックスとして使用するように変更しました。

Linuxカーネルのdrm/xeサブシステムにおいて、madvise IOCTLでのpat_indexに対する境界チェックが不十分である脆弱性が報告されました。具体的には、xe_pat_index_get_coh_mode()関数がpat_indexの範囲検証を行わずに配列へアクセスするため、不正な値を用いることでカーネルの範囲外読み取りが発生する可能性があります。この問題はmadvise_args_are_sane()関数がpat_indexの検証を先行せずに処理を進めることに起因しています。この脆弱性が悪用されるとシステムの機密情報が漏洩するリスクを引き起こすおそれがあります。修正により、pat_indexの境界チェックが適切に実装され、またSpectre攻撃緩和のためにarray_index_nospec()が使用されるようになりました。

Linuxカーネルにおいて、以下の脆弱性が解消されました。mailbox: fw_mbox_index_xlate()関数における境界外アクセスの防止です。#mbox-cellsは少なくとも1であるべきですが、デバイスツリーには多くの#mbox-cells = 0;の例があります。その場合、対応するメールボックスコントローラーがfw_xlateおよびof_xlate関数ポインタを提供しないと、デフォルトでfw_mbox_index_xlate()が使用されます。この関数での境界チェック不足により、境界外アクセスが発生する可能性があります。

Linuxカーネルにおいて、以下の脆弱性が修正されました：dmaengine: idxdにおけるFLR後の不正なメモリアクセスの可能性を修正しました。最初のファンクションレベルリセット（FLR）が正常に終了した場合でも、2回目のFLRで保存される設定用のスクラッチエリアが割り当てられないと、不正なメモリアクセスが発生する可能性があります。FLRが完了した後は、常に解放されたスクラッチエリアをNULLに設定するようにしています。

Linuxカーネルにおいて、ext4_ext_correct_indexes関数内でp_idxの境界を検証しなかった問題によりスラブの境界外読み取りが発生する脆弱性が修正されました。オンディスクのエクステントヘッダーが破損または不正なeh_entries値を含む場合、p_idxが割り当てられたバッファの末尾を越えてアクセスできる可能性がありました。この問題は、whileループの前後でpath[k].p_idxをEXT_LAST_INDEX()に対して検証し、不正な場合は-EFSCORRUPTEDを返すことで修正されました。

Linuxカーネルにおいて、scsi: ibmvfcのibmvfc_discover_targets_done()関数に存在した境界外アクセスの脆弱性が修正されました。悪意のあるまたは侵害されたVIOサーバがmax_targetsを超えるnum_writtenの値を返すことで、割り当てられたバッファの外側にあるカーネルメモリにアクセスし、情報漏洩が発生する可能性がありました。修正ではnum_writtenの値をmax_targetsに制限して、この問題を解決しました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。vt：リサイズ後の代替スクリーン退出時に古いUnicodeバッファを破棄しない問題です。enter_alt_screen()がvc_uni_linesをvc_saved_uni_linesに保存し、vc_uni_linesをNULLに設定すると、その後vc_do_resize()によるコンソールのリサイズ時にvc_uni_linesがNULLのためUnicodeバッファの再割り当てがスキップされます。しかし、vc_saved_uni_linesは元のサイズで割り当てられた古いバッファを指し続けます。後にleave_alt_screen()がvc_saved_uni_linesを復元すると、バッファの寸法がvc_rows/vc_colsと一致しません。現在の寸法を使用してUnicodeバッファを走査する操作（例：画面をクリアするcsi_J）は境界外のメモリアクセスを行い、カーネルのoopsを引き起こします。障害アドレス0x0000002000000020は、2つの隣接するu32スペース文字(0x20)がポインタとして解釈されたものであり、80x25向けに割り当てられたバッファの25エントリポインタ配列の後ろの行データ領域から読み取られていますが、240x67の寸法でアクセスされました。この問題は、代替スクリーン中にコンソールの寸法が変わったかどうかをチェックし、変わっていれば古い保存済みバッファを復元せずに解放することで修正されました。Unicodeスクリーンは次回必要となった際にvc_uniscr_check()により遅延再構築されます。

Linuxカーネルにおいて、HIDコアの脆弱性が修正されました。hid_report_raw_event()内のmemset()関数は、受信データ文字列の終わりからバッファの想定終端までの領域をゼロクリアする目的で使用されていましたが、これにより不正な読み書きが発生する可能性がありました。現在の対策として、memset()を削除し、受信イベントバッファのサイズがレポートに十分でない場合は処理を中断するように変更しています。

Linuxカーネルにおいて、以下の脆弱性が修正されました。HID: wacom: wacom_intuos_bt_irqにおける境界外読み取りの問題です。wacom_intuos_bt_irq()関数はBluetooth HIDレポートを処理しますが、十分な境界チェックが行われていませんでした。悪意を持って作成された短いレポートにより、wacom構造体へのデータコピー時に境界外読み取りが発生する可能性がありました。具体的には、レポート0x03は処理されたデータとバッテリーステータスを安全に読み取るために少なくとも22バイトを必要とし、レポート0x04（0x03にフォールスルー）は32バイトを必要とします。これらのレポートIDに対して明示的な長さチェックを追加し、短いレポートが受信された場合は警告をログに記録するようにしました。