脆弱性情報（JVN）検索・一覧

Google Chromeのバージョン149.0.7827.53以前のANGLEにおいて、境界外メモリアクセスの脆弱性が存在しました。これにより、リモートの攻撃者が細工されたHTMLページを介して不正に境界外メモリアクセスを実行する可能性がありました。

Google Chromeのバージョン149.0.7827.103以前のWebRTCにおける境界外読み取りの脆弱性により、リモートの攻撃者が細工されたHTMLページを介してGPUプロセスを侵害し、ヒープ破損を悪用する可能性がありました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。ipv6: fib6_add_rt2node()における境界外アクセスの問題です。syzbotによりfib6_add_rt2node()での境界外読み取りが報告されました。[0] IPv6ルートがRTA_NH_ID付きで作成されると、構造体fib6_infoには末尾のfib6_nh構造体が存在しません。指摘されたコミットでは、rt6_qualify_for_ecmp()がiterに対してfalseを返すことを保証するために!iter-fib6_nh-fib_nh_gw_familyをチェックし始めました。しかし、iter-nhがNULLでなければ、rt6_qualify_for_ecmp()はどのみちfalseを返します。そこで、iter-fib6_nhを読み込む前にiter-nhを確認し、境界外読み取りを回避するようにしました。[0]: BUG: KASAN: slab-out-of-bounds in fib6_add_rt2node+0x349c/0x3500 net/ipv6/ip6_fib.c:1142 サイズ1の読み取りがアドレスffff8880384ba6deでタスクsyz.0.18/5500によって実行されました。CPU: 0 UID: 0 PID: 5500 コミュニティ: syz.0.18 タイントされていません syzkaller #0 PREEMPT(full) ハードウェア名: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.16.3-debian-1.16.3-2 2014/04/01 コールトレースなど詳細は省略しますが、メモリの安全性を確保するため、fib6_add_rt2node()内でのポインタ検査を強化し、境界外アクセスを防止しました。

Linuxカーネルのdrm/amd/displayで、範囲外のストリームエンコーダーインデックスアクセスの脆弱性が修正されました。eng_idが負の値になる可能性があり、サイズ5のstream_enc_regs配列に範囲外アクセスが発生する恐れがありました。この問題は、eng_idを使用する前に明示的な範囲チェックと符号なしキャストを追加することで修正されました。これにより、不正なメモリアクセスを防止し、システムの安定性とセキュリティを向上させました。

Ubuntu Linux 6.8、6.17および7.0にはAppArmor SAUCEパッチが含まれており、このパッチが内部バッファのサイズを誤って計算する可能性があります。その結果、通知処理コードでヒープメモリの境界外読み取りが発生することがあります。このバグは権限のないローカルユーザーによって引き起こされる可能性があり、AppArmorのDFAポリシーエンジンが無効なデータを処理してしまう原因となる可能性があります。

Google Chromeのバージョン149.0.7827.53以前のWebGPUには境界外読み取りの脆弱性が存在し、リモートの攻撃者が細工されたHTMLページを介して境界外メモリを読み取ることが可能でした。

Google Chrome のバージョン 149.0.7827.53 より前の ANGLE において、境界外読み取りの脆弱性が存在し、リモートの攻撃者が細工された HTML ページを介して境界外メモリを読み取ることができました。

149.0.7827.53より前のGoogle ChromeのLiveCaptionにおける不適切な実装により、リモートの攻撃者が悪意のあるネットワークトラフィックを介して境界外メモリアクセスを実行する可能性がありました。

7-Zipは高い圧縮率を持つファイルアーカイバです。バージョン9.34から26.00までには、32ビットビルドにおけるSquashFSフラグメントオフセットの整数オーバーフローによりヒープメモリ情報漏洩の脆弱性が存在します。SquashFSのReadBlock関数で発生する32ビット整数オーバーフローにより、攻撃者が制御するnode.Offset値がフラグメント境界チェックを回避でき、memcpyがキャッシュバッファの前のヒープメモリを抽出ファイルに読み込んでしまいます。この脆弱性は、size_tが32ビットである7-Zipの32ビットビルドでのみ悪用可能で、offsetInBlock + blockSizeの加算が2の32乗でモジュロ演算としてラップアラウンドしてしまいます。64ビットビルドでは加算が64ビットに昇格され、チェックが正しく入力を拒否します。バージョン26.01でこの問題は修正されました。

7-Zipは高い圧縮率を持つファイルアーカイバです。バージョン9.34から26.00にかけて、WIM（Windows Imaging）アーカイブハンドラのセキュリティディスクリプタルックアップにおいて、ヒープベースのオフバイワンの境界外読み取り脆弱性が含まれていました。CHandler::GetSecurity（CPP/7zip/Archive/Wim/WimHandler.cpp）では、各イメージのSecurOffsetsテーブルはnumEntries + 1個の累積オフセットを保持していますが、チェックのsecurityId = SecurOffsets.Size()はsecurityId == numEntriesを許容します。そのため、関数はSecurOffsets[securityId + 1]を読み取り、ヒープ割り当てされたCRecordVectorの末端の1つ先のUInt32を取得します。operator[]では境界チェックが行われません。securityIdはWIMメタデータ内の任意のディレクトリエントリのオフセット+0xCで攻撃者に制御されており、ハンドラは.wim、.swm、.esd、および.ppkgに登録され、標準の7z.dllでデフォルトで有効です。この境界外読み取りはGUIのゼロクリックでトリガーされます。7zFM.exeのListViewはリスト表示時に全アイテムに対してGetRawProp(kpidNtSecure)を呼び出すため（ASan確認済み）、CLIの7zz l -sltコマンドによるリスト表示でも実行されます。影響は強化されたアロケータ下でのサービス妨害に限定されます。境界外の値は算術的に長さとしてのみ使用され、攻撃者に直接示されないため、軽微な情報漏洩も発生しますが、書き込みプリミティブは存在しません。

7-Zipは高い圧縮率を持つファイルアーカイバです。バージョン9.21から26.00までには、UEFIファームウェアイメージパーサ（CPP/7zip/Archive/UefiHandler.cpp）のParseDepedencyExpression関数にオフバイワンの境界外読み取り脆弱性が存在します。この関数は10エントリのkExpressionCommands静的配列の要素数に対して、=ではなくを使用して攻撃者が制御するオペコードバイトを検証するため、オペコード値10が配列の終わりの1ポインタスロット（x64では8バイト）を.rodata上で読み取ることを許してしまいます。境界外の値はconst char *として逆参照され、その後strlenとmemcpyを経てアーカイブのCharactsプロパティに渡されます。これにより、隣接するバイトが有効な読み取り可能なポインタを形成しない場合にはサービス拒否（アクセス違反）を引き起こし、隣接する.rdataの文字列リテラルがアーカイブのメタデータに少量漏洩する可能性があります。この脆弱性は、SECTION_DXE_DEPEX（0x13）またはSECTION_PEI_DEPEX（0x1B）セクションの最初の本文バイトが0x0Aである場合にOpenFv/OpenCapsule → ParseVolume → ParseSectionsの呼び出し経路を通じてIInArchive::Open()時に自動的に利用されます。UEFIハンドラは標準の7z.dllでUEFIcとUEFIfの両形式に対するシグネチャベースの検出がデフォルトで有効です。結果（クラッシュか無音の情報漏洩か）はビルドごとに決定されますがリンカのレイアウト依存であり、書き込みプリミティブの発生やヒープデータ、秘密情報、ASLRベースアドレスの漏洩はありません。バージョン26.01でこの問題は修正されています。

Google ChromeのMac版バージョン149.0.7827.53以前のANGLEにおける境界外読み取りの脆弱性により、リモートの攻撃者は細工されたHTMLページを介して境界外のメモリを読み取ることが可能でした。

Google Chromeのバージョン149.0.7827.53以前のDawnにおいて、不正な型変換が存在し、リモートの攻撃者が細工されたHTMLページを介してサンドボックス内で任意のコードを実行できる可能性がありました。

Google Chromeのバージョン149.0.7827.53以前のGPUにおける整数オーバーフローにより、リモートの攻撃者が細工されたHTMLページを介してレンダラプロセスを侵害し、サンドボックスを脱出する可能性がありました。

Google Chromeのバージョン149.0.7827.53以前のANGLEにおける境界外読み取りにより、リモートの攻撃者が細工されたHTMLページを通じてレンダラープロセスを侵害し、サンドボックスから脱出を実行する可能性がありました。この脆弱性はChromiumセキュリティにおいて重大と評価されています。

Google Chromeのバージョン149.0.7827.53以前のDawnには境界外読み取りの脆弱性があり、レンダラプロセスを侵害したリモート攻撃者が細工されたHTMLページを介してサンドボックスから脱出を実行できる可能性がありました。

msgpackデコーダは、切り詰められたfixextデータ（フォーマットコード0xd4-0xd8）を処理する際に、入力バッファ長を適切に検証しません。この問題により、境界外読み取りやランタイムパニックが発生し、サービス拒否攻撃を引き起こす可能性があります。

Google Chrome 148.0.7778.216以前のGPUにおける範囲外読み取りの脆弱性により、リモート攻撃者が細工されたHTMLページを介してレンダラープロセスを乗っ取り、サンドボックスのエスケープを行う可能性がありました。

Nozomi Networks Labsは、バージョン7.10.0.0 R2601141040のWaterfall WF-500 RX HostにCWE-125: 範囲外読み取りの脆弱性を特定しました。この脆弱性により、TX Hostへのアクセス権を持つ攻撃者がRX Host上でコードを実行できる可能性があります。

Linuxカーネルにおいて、以下の脆弱性が修正されました。bpf: cgroupローカルストレージにおける範囲外アクセスの問題です。Lonialは、テイルコールを介してcgroupローカルストレージに範囲外アクセスが発生する可能性があることを報告しました。異なる値サイズのcgroupローカルストレージを利用する2つのプログラムがあり、一方のプログラムがもう一方に対してテイルコールを行う場合、検証器はそれぞれのプログラムを問題なく検証します。しかし、実行時コンテキストではbpf_cg_run_ctxがbpf_prog_array_itemを保持しており、これはBPFプログラムおよびプログラムが使用するcgroupローカルストレージのフレーバーを含んでいます。bpf_get_local_storage()などのヘルパーは実行時コンテキストからこれを取得します。具体的には、ctx = container_of(current-bpf_ctx, struct bpf_cg_run_ctx, run_ctx); storage = ctx-prog_item-cgroup_storage[stype]; if (stype == BPF_CGROUP_STORAGE_SHARED) ptr = &READ_ONCE(storage-buf)-data[0]; else ptr = this_cpu_ptr(storage-percpu_buf);元のプログラムから呼び出された2番目のプログラムに対して、bpf_get_local_storage()は自身のマップではなく、前のプログラムのマップを取得してしまいます。サイズの不一致により、意図しない範囲外アクセスが発生する可能性があります。この問題を修正するために、bpf_map_ownerを拡張し、storage_cookie[]の配列を追加しました。これにより、(i) 2番目のプログラムがbpf_get_local_storage()を使用した場合に元のプログラムの正確なマップと照合し、(ii) 2番目のプログラムがcgroupローカルストレージマップを使用していなかった場合にはテイルコールの組み合わせを許可する仕様に改善しました。

ResourceTypes.cppのvalidateNodeにおいて、不正な境界チェックにより範囲外読み取りが発生する可能性があります。これにより、追加の実行権限を必要とせずにローカルで権限昇格が起こる可能性があります。利用者は悪用のための操作を行う必要がありません。

Google Chromeのバージョン148.0.7778.216以前のHeadlessにおける範囲外読み取りにより、レンダラープロセスが侵害される可能性がありました。リモート攻撃者は、細工されたHTMLページを介してサンドボックスから脱出できる可能性がありました。

エスケープ操作のためのIOCTL呼び出しを処理中にメモリが破損する。

LinuxカーネルのAppArmorにおけるunpack_pdb関数では、信頼されていないデータから読み取られたDFAの開始状態が範囲外になることを検証していませんでした。このため、範囲外読み取りの脆弱性が存在しました。この問題により、aa_dfa_next関数が不正な状態テーブルにアクセスし、カーネルのメモリ破壊や脆弱性を引き起こす可能性がありました。本脆弱性は、unpack_pdb関数が範囲外の開始状態を持つポリシーを拒否することで対処されました。

Linuxカーネルにおいて、次の脆弱性が修正されました：accel/amdxdnaのコマンドスロット処理における範囲外のmemsetの問題です。コマンドスロットの残りの空き領域がコマンドヘッダーのサイズより小さい場合があります。使用可能なスロット領域を検証する前にmemset()でコマンドヘッダーをクリアすると、範囲外書き込みおよびメモリ破損が発生する可能性がありました。この問題は、サイズ検証の後にmemset()呼び出しを移動することで修正しました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。bpf: BPF_END値トラッキングのためのレジスタIDリセットに関する問題です。BPF_END（バイトスワップ）操作が行われると、そのレジスタのスカラー値がインプレースで変異します。もしこのレジスタが以前に別のレジスタとスカラーIDを共有していた場合（例：`r1 = r0`の代入後など）、この結びつきを切断する必要があります。現在、検証器はBPF_ENDの場合に`dst_reg-id`を0にリセットする処理を欠いていました。その結果、条件ジャンプがスワップされたレジスタを検査すると、検証器は誤って学習した境界をリンクされたレジスタに伝播させてしまい、リンクされたレジスタの値に誤った信頼を与えてしまいます。そのため、境界外のメモリアクセスを許してしまう可能性がありました。これを解決するために、BPF_ENDの場合に`dst_reg-id`を明示的に0にリセットしてスカラーの結びつきを断ち切る修正を行いました。この対応方法は、BPF_NEGが`__mark_reg_known`を使って処理する方法に類似しています。

Windows上のGoogle Chrome 148.0.7778.216以前のバージョンに含まれるANGLEの境界外読み取りの脆弱性により、リモートの攻撃者が細工されたHTMLページを介して任意のコードを実行する可能性がありました。

Linuxカーネルにおける脆弱性は、rocket_probeのエラーパスの巻き戻し処理の修正に関するものです。rocket_core_init()関数が失敗した場合、インクリメントしたカウンターを正しくデクリメントして巻き戻さなければなりません。また、最初にプローブに失敗したコアの場合は、rocket_device_fini()でデバイスを削除する必要があります。この修正によって、範囲外アクセスの問題が解決されました。

Linuxカーネルにおいて、stagingのrtl8723bsドライバのrtw_restruct_wmm_ie関数に潜在的な境界外読み取りの脆弱性が修正されました。この脆弱性は、配列アクセス時のインデックスチェックの順序が不適切であったことに起因しています。条件文の順序を修正し、インデックスが配列長内であることを先に確認することで、この問題を解決しました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。nvme-pciのnvme_dbbuf_set関数内で発生していたスラブ境界外アクセスの問題を修正しました。dev-online_queuesはnvme_init_queue関数内でインクリメントされるカウントであり、有効なインデックスは0からdev-online_queues−1までです。本パッチはループ条件を修正し、インデックスが有効範囲内に収まるようにしました。インデックス0は管理キューのため除外されています。KASANエラーの内容は、nvme_dbbuf_free関数の377行目とnvme_dbbuf_set関数の404行目でスラブ境界外アクセスが検出されたことです。サイズ2の読み込みがタスクkworker/u8:5によって行われました。問題のアドレスは、サイズ2048のkmalloc-2kキャッシュ内の領域[ffff88800592a000, ffff88800592a480)の1152バイト割り当て範囲の右244バイト外に位置していました。この問題はnvme_pciドライバのオンラインキュー管理におけるインデックス計算の不備によって発生しました。パッチにより正しい範囲チェックが追加され、不正アクセスが防止されました。

Linuxカーネルにおいて、次の脆弱性が修正されました。netfilterのnfnetlink_cthelperにあるnfnl_cthelper_dump_table()関数内で範囲外読み取り（OOB読み取り）が発生する問題が解決されました。nfnl_cthelper_dump_table()関数にはforループ本体内のラベルへ飛ぶ「goto restart」が存在します。cb-args[1]に保存された「last」ヘルパーがダンプラウンド間で削除されると、すべてのエントリが(cur != last)チェックに失敗し、cb-args[1]がクリアされません。forループはcb-args[0]がnf_ct_helper_hsizeと等しい状態で終了し、「goto restart」は境界チェックをバイパスしてループ本体に戻るため、nf_ct_helper_hash[nf_ct_helper_hsize]に対して8バイトの範囲外読み取りが発生します。この「goto restart」ブロックは、「last」が見つからなくなったときに現在のバケットを再度走査するためのものでしたが、forループの外に配置されていました。修正により、このブロックはforループ内に移動され、cb-args[0]が範囲内にある場合にのみ再起動が発生するようになりました。BUG: KASANによりnfnl_cthelper_dump_table+0x9f/0x1b0でslab-out-of-boundsが検出されました。サイズ8の読み取りがaddr ffff888104ca3000でtask poc_cthelper/131によって実行されました。コールトレースはnfnl_cthelper_dump_table+0x9f/0x1b0、netlink_dump+0x333/0x880、netlink_recvmsg+0x3e2/0x4b0、sock_recvmsg+0xde/0xf0、__sys_recvfrom+0x150/0x200、__x64_sys_recvfrom+0x76/0x90、do_syscall_64+0xc3/0x6e0の順です。タスク1は__kvmalloc_node_noprof+0x21b/0x700、nf_ct_alloc_hashtable+0x65/0xd0、nf_conntrack_helper_init+0x21/0x60、nf_conntrack_init_start+0x18d/0x300、nf_conntrack_standalone_init+0x12/0xc0で確保されました。

Linuxカーネルにおいて、以下の脆弱性が修正されました：netfilterのnft_set_pipapoサブシステム内に存在したpipapo_drop()関数におけるスタックの境界外読み取りの問題です。pipapo_drop()はすべての反復でrulemap[i + 1].nをpipapo_unmap()のto_offset引数として渡していました。最後の反復（i == m-field_count - 1）も含まれていました。これにより、スタック上に確保されたrulemap配列（rulemap[NFT_PIPAPO_MAX_FIELDS]として宣言され、NFT_PIPAPO_MAX_FIELDSは16です）を1要素分超えて読み込むことが発生していました。pipapo_unmap()はis_lastがtrueの場合、to_offset値を使用せずに早期リターンしますが、引数は関数本体が実行される前に呼び出し元で評価されるため、本物のスタックの境界外読み取りとなっており、KASANによって検出されました。具体的には、BUG: KASAN: stack-out-of-bounds in pipapo_drop+0x50c/0x57c [nf_tables]、サイズ4の読み取りがアドレスffff8000810e71a4で発生しました。このフレームには1つのオブジェクトがあり、その範囲は[32, 160)の'rulemap'です。バグのあるアドレスはオフセット164で、rulemap配列の末尾を正確に4バイト超えています。問題を解決するために、最終反復時にはrulemap[i + 1].nの代わりに0を渡すことで境界外読み取りを回避しました。

148.0.7778.179 より前の Google Chrome の GPU における範囲外読み取りの脆弱性により、リモート攻撃者が細工された HTML ページを介してヒープ破損を悪用できる可能性がありました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。bpf: BPF_OR用のmaybe_fork_scalars()における不適切なスカラー分岐を修正しました。maybe_fork_scalars()はソースオペランドが定数の場合にBPF_ANDおよびBPF_ORの両方で呼び出されます。dstの符号付き範囲が[-1, 0]の場合、検証状態を分岐させます。分岐先のパスはdst=0、現在のパスはdst=-1となります。BPF_ANDの場合、これは正しく（0 & K == 0）ですが、BPF_ORの場合は誤っています（0 | K == Kであり0ではありません）。したがって分岐先のパスは実行時の値がKであるにもかかわらずdstを0として追跡し、検証器と実行時の不整合を生み、境界外のマップアクセスを可能にする悪用可能な状態を作り出していました。この問題は、push_stack()にenv-insn_idx（env-insn_idx + 1ではなく）を渡すことで修正されており、分岐先のパスがdst=0でALU命令を再実行し、任意のオペコードに対して自然に正しい結果を計算するようになりました。

Linuxカーネルにおいて、以下の脆弱性が修正されました：usbクラスのcdc-wdmに関する読み取りコードパスの順序を入れ替える問題の修正です。バグレポートによると、コンパイラの最適化またはCPUのアウトオブオーダー実行により、desc-lengthの更新がmemmoveの前に再順序される可能性がありました。これが発生すると、wdm_read()は新しい長さを参照し、初期化されていないメモリに対してcopy_to_user()を呼び出すことがありました。この動作はLKMMのデータ競合ルール[1]にも違反していました。この問題は、WRITE_ONCEとメモリバリアを使用して修正されました。