脆弱性情報（JVN）検索・一覧

Linuxカーネルにおいて、次の脆弱性が修正されました。io_uring/net: io_bundle_nbufs()におけるスラブの境界外読み取りの問題です。sqe-lenは__u32型ですが、sr-lenに格納されるとint型になります。ユーザースペースがINT_MAX（例：0xFFFFFFFF）を超えるsqe-lenの値を渡すと、sr-lenが負の値にオーバーフローします。この負の値がバンドルの受信/送信パス全体に伝播します。以下の流れで問題が発生します。1. io_recv(): sel.val = sr-len（ssize_tが-1となる） 2. io_recv_buf_select(): arg.max_len = sel-val（size_tが0xFFFFFFFFFFFFFFFFとなる） 3. io_ring_buffers_peek(): max_lenが非常に大きいためbuf-lenは制限されない 4. iov[].iov_lenに0xFFFFFFFFがio_bundle_nbufs()へ流れ込む 5. io_bundle_nbufs(): min_t(int, 0xFFFFFFFF, ret)が-1を返し、retが減少するのではなく増加し、確保されたiov[]配列の境界を超える無限ループが発生します。これにより、io_bundle_nbufs()でkmalloc-64スラブの範囲外の読み取りが起き、nbufsが確保されたiovecエントリを超えて増加します。バグ内容は次のとおりです。KASAN: io_bundle_nbufs+0x128/0x160におけるスラブの境界外読み取りがサイズ8でアドレスffff888100ae05c8にてタスクexp/145によって行われました。コールトレースはio_bundle_nbufs+0x128/0x160、io_recv_finish+0x117/0xe20、io_recv+0x2db/0x1160です。修正内容として、io_sendmsg_prep()およびio_recvmsg_prep()の両方で負のsr-len値を早期に拒否する対策を講じました。sqe-lenは__u32型であるため、INT_MAXを超える値はオーバーフローを示し、有効な長さではないと判断しています。

osrg GoBGP バージョン4.3.0までに脆弱性が確認されています。この問題は、コンポーネントBMP Parserのファイルpkg/packet/bmp/bmp.go内の関数BMPPeerUpNotification.ParseBodyおよびBMPStatisticsReport.ParseBodyに影響を及ぼします。この操作により境界外読み取りが発生します。この攻撃はリモートで開始される可能性があります。バージョン4.4.0へのアップグレードによってこの問題は解決されます。パッチの識別子はbc77597d42335c78464bc8e15a471d887bbdf260です。影響を受けるコンポーネントはアップグレードすることを推奨します。

Google Chromeの148.0.7778.96以前のバージョンにおいて、AdFilterの境界外読取りの脆弱性により、リモートの攻撃者が細工されたHTMLページを介してサンドボックス内で任意のコードを実行できる可能性がありました。

ModSecurityは、Apache、IIS、およびNginx向けのオープンソースかつクロスプラットフォーム対応のウェブアプリケーションファイアウォール(WAF)エンジンです。LibmodsecurityはModSecurity v3プロジェクトの一部コンポーネントです。t:hexDecode変換を使用するルールが単一文字を含むクエリ文字列パラメータを検査する際にセグメンテーションフォルトが発生します。攻撃者はこれを悪用してワーカープロセスをクラッシュさせ、サービス拒否(DoS)を引き起こす可能性があります。攻撃が停止するとワーカープロセスはセグメンテーションフォルトから回復し、サービスは再開されます。libModSecurity3のバージョン3.0.15より前のすべてのバージョンが影響を受けます。この問題はバージョン3.0.15で修正されています。

Linuxカーネルにおいて、以下の脆弱性が修正されました。net/sched: sch_netemにおけるパケット破損時の境界外アクセスの修正です。netem_enqueue()関数では、パケット破損のロジックでskb-dataの変更対象インデックスを選択するためにget_random_u32_below(skb_headlen(skb))が使用されています。AF_PACKETのTX_RINGがIPIPトンネル経由で完全に非線形なパケットを送信した場合、skb_headlen(skb)は0を返します。0をget_random_u32_below()に渡すと、制限されていない32ビットの乱数が返されます。そのため、この値をskb-dataのオフセットとして使用すると境界外メモリアクセスが発生します。この問題を修正するために、線形データ領域の破損を試みる前にskb_headlen(skb)が0でないことを検証します。完全に非線形なパケットは破損ロジックを静かに回避します。

Linuxカーネルにおいて、以下の脆弱性が修正されました：smbクライアントのsmb2_ioctl_query_info関数のQUERY_INFOパスに存在するOOB読み取りの問題です。smb2_ioctl_query_info()にはPASSTHRU_FSCTLとデフォルトのQUERY_INFOの2つのレスポンスコピー分岐があります。QUERY_INFO分岐では、qi.input_buffer_lengthをサーバーが報告したOutputBufferLengthに制限し、その後qi_rsp-Bufferからqi.input_buffer_lengthバイトをユーザースペースにコピーしますが、フレキシブル配列のペイロードがrsp_iov[1].iov_len内に収まっているかを検証していませんでした。悪意のあるサーバーは実際のQUERY_INFOレスポンスより大きいOutputBufferLengthを返すことが可能であり、その結果copy_to_user()がレスポンスバッファを越えて読み取り、隣接するカーネルヒープをユーザースペースに露出させる恐れがありました。今回の修正では、QUERY_INFOのコピー処理を実際のBufferペイロードの境界チェックで保護しています。また、32ビットビルドにおけるガードのオーバーフローを防ぐために、オープンコーディングされた加算の代わりにstruct_size(qi_rsp, Buffer, qi.input_buffer_length)を使用しています。

libarchiveに脆弱性が発見されました。このヒープの境界外読み取りの脆弱性は、圧縮方式の遷移後にLZSSスライディングウィンドウサイズの不適切な検証が原因で、RARアーカイブ処理ロジックに存在します。リモート攻撃者は特別に細工されたRARアーカイブを提供することで、この脆弱性を悪用でき、認証やユーザーの操作を必要とせずに機密なヒープメモリ情報を開示させる可能性があります。

Nothings stb バージョン 1.26 までに脆弱性が発見されました。この脆弱性が影響を及ぼすのは、コンポーネントである TTF ファイルハンドラのライブラリ stb_truetype.h 内の関数 stbtt_InitFont_internal です。この関数に対する操作により、境界外読み取りが発生します。リモートからの攻撃で悪用が可能です。この脆弱性のエクスプロイトが公開されており、悪用される可能性があります。ベンダーには早期に通知されましたが、現時点で何らかの対応はなされていません。

Nothingsのstbバージョン1.26以前に脆弱性が確認されました。影響を受けるのは、コンポーネントTTFファイルハンドラ内のライブラリstb_truetype.hにある関数stbtt__buf_get8です。この関数の操作により境界外読み取りが発生する可能性があります。この攻撃はリモートで実行可能です。攻撃手法は公に公開されており、悪用される可能性があります。ベンダーには早期に本脆弱性を報告しましたが、対応は行われませんでした。

Open CASCADE Technology (OCCT) V8_0_0_rc5 の STL ASCII ファイルパーサにおいて、RWStl_Reader::ReadAscii にヒープベースの境界外読み取りの脆弱性が存在します。この脆弱性は、Standard_ReadLineBuffer::ReadLine() から返されるバッファの長さが、strncasecmp や直接のバイトアクセスの前に適切に検証されていないことが原因で発生します。攻撃者は被害者に非常に短い行を含む細工された STL ファイルを開かせることで、この脆弱性を悪用し、サービス拒否や情報漏洩を引き起こす可能性があります。

Open CASCADE Technology (OCCT) V8_0_0_rc5 の OBJ ファイルパーサに存在する RWObj_Reader::read 内のヒープベースの範囲外読み取り脆弱性により、攻撃者が細工した OBJ ファイルを被害者に開かせることで、サービス拒否（DoS）を引き起こしたり、機密情報を取得したりする可能性があります。この問題は、Standard_ReadLineBuffer::ReadLine() が最小限の OBJ ラインに対して 1 バイトのバッファを返し、RWObj_Reader::read() がバッファ長を検証せずに pushIndices(aLine + 2) を呼び出すことが原因です。

libtheoraに脆弱性が発見されました。このヒープベースの境界外読み取り脆弱性はAVI（Audio Video Interleave）パーサ内、特にavi_parse_input_file()関数に存在します。ローカルの攻撃者は、トランケートされたヘッダーサブチャンクを含む特別に細工されたAVIファイルをユーザーに開かせることで、この脆弱性を悪用できます。これにより、サービス拒否（アプリケーションのクラッシュ）が発生したり、ヒープから機密情報が漏洩したりする恐れがあります。

gst_wavparse_adtl_chunk()関数で発生する境界外読み取りの脆弱性は、不完全な修正によって引き起こされます。パッチでサイズ検証チェックlsize + 8 sizeが追加されましたが、実際のオフセット計算に使用されるGST_ROUND_UP_2(lsize)が考慮されていません。lsizeが奇数の場合、パーサーは許可された範囲を超えて読み取るため、境界外読み取りが発生します。

Secure Access Windowsクライアント14.50未満に存在する任意の読み取りおよび書き込みの脆弱性です。Windowsクライアントをローカルで操作できる攻撃者は、不正なデータをAPIに送信し、システムレベルの権限に昇格させる可能性があります。

Eclipse Open9J バージョン 0.21 から 0.58 において、認証前のリモート攻撃者が特別に細工された 32 バイトの TCP メッセージを送信することで、JITServer をクラッシュさせる脆弱性があります。

Linuxカーネルにおいて、以下の脆弱性が修正されました：smbのclientのcheck_wsl_eas()内にあるオフバイ8の境界チェックの修正です。この境界チェックはEA名と値の終端として(u8 *)ea + nlen + 1 + vlenを使用していますが、ea_dataはeaのオフセット0ではなく、sizeof(struct smb2_file_full_ea_info) = 8の位置にあります。strncmp()は後にea-ea_data[0..nlen-1]を読み取り、その後に値のバイトがea_data[nlen+1..nlen+vlen]に続きます。したがって、実際の終端はea-ea_data + nlen + 1 + vlenとなります。ポインタ演算は難しいものです。以前のチェックである(u8 *)ea end - sizeof(*ea)は8バイトのヘッダーが境界内にあることのみを保証していましたが、最後のEAはレスポンスの終端近くの8バイト内に配置されているため、名前と値のバイトがiovの終端を超えて読み取られてしまう問題がありました。この混乱を修正するために、境界チェックの基準をea-ea_dataに変更しました。この脆弱性を悪用されると、「信頼されていない」サーバーが最大8バイトのカーネルヒープ情報をEA名の比較時にリークさせ、データがどのWSLのxattrとして解釈されるかに影響を与える可能性があります。

Microsoft Office Excelの境界外読み取りにより、権限のない攻撃者がローカルで情報を漏洩する可能性があります。

Linuxカーネルにおいて、以下の脆弱性が修正されました。rxrpcでは、RxGKトークンの読み込み時の境界チェックを修正しました。rxrpc_preparse_xdr_yfs_rxgk()はXDRトークンから生のキー長とチケット長をu32値として読み取り、それぞれをround_up(x, 4)で丸めた後に検証および割り当てに使用しています。生の長さが0xfffffffd以上の場合、round_up()は0に巻き戻るため、境界チェックとkzallocは0を使用しますが、その後のmemcpyは元の約4GiBの値をコピーし続け、特権のないadd_key()呼び出しから到達可能なヒープバッファオーバーフローを引き起こします。本問題の修正内容は次の通りです。(1) RxKADパスがAFSTOKEN_RK_TIX_MAXで既に強制している上限に合わせて、丸める前に生のキー長がAFSTOKEN_GK_KEY_MAXを超える場合と生のチケット長がAFSTOKEN_GK_TOKEN_MAXを超える場合を拒否すること。(2) 柔軟な配列割り当てサイズを丸め値ではなく、検証済みの生のキー長からstruct_size_t()を使用して算出すること。(3) フィールド代入およびmemcpyの際にトークンから再読み込みしないように生の長さをキャッシュし、TOCTOU再解析の問題を排除すること。有効なトークンで境界内の長さを持つ制御パスには影響がありません。

パッケージ `github.com/gomarkdown/markdown` は、Markdownテキストを解析しHTMLとしてレンダリングするGoのライブラリです。残りのテキストのどこにも続く 文字がなく、 文字を含む不正な入力をSmartypantsRendererで処理すると、範囲外読み取りまたはパニックが発生する可能性があります。この脆弱性は、コミット759bbc3e32073c3bc4e25969c132fc520eda2778によって修正されました。

Linuxカーネルにおいて、以下の脆弱性が修正されました：io_uring/fdinfoにおけるSQE_MIXEDのラップチェックで発生する境界外読み取り（OOB読み取り）です。__io_uring_show_fdinfo()は保留中のSQEを反復処理し、128バイトのSQEがIORING_SETUP_SQE_MIXEDリング上に存在する場合、SQEの後半部分がsq_sqes配列の末尾を超えるかどうかを検出する必要があります。現在のチェックは(++sq_head & sq_mask) == 0ですが、sq_headは128バイトのSQEが検出された場合にのみインクリメントされ、すべての反復ではありません。実際の配列インデックスはsq_idx = (i + sq_head) & sq_maskであり、ラップチェックが通過してもsq_idxがsq_mask（最後のスロット）になる可能性があります。これをsq_idxを直接チェックすることで修正しました。次の反復で128バイトSQEの後半をスキップするためにsq_headのインクリメント処理は維持されています。

Linuxカーネルにおいて、以下の脆弱性が修正されました。LoongArchのKVMにおいて、kvm_get_vcpu_by_cpuid()関数をより堅牢にしました。kvm_get_vcpu_by_cpuid()はcpuidパラメータをint型で受け取るため、cpuidが負の値になる可能性があります。この場合、kvm_get_vcpu_by_cpuid()はNULLを返すようにしており、より堅牢になっています。これにより、kvm_arch::phyid_map::phys_map[]への境界外アクセスの問題を修正しています。

Linuxカーネルにおいて、s390/mmの寄贈メモリに対する欠落していたセキュアストレージアクセス修正が追加される脆弱性が修正されました。特定のケースでは、カーネルコンテキスト内でPG_arch_1ビットが設定されていないページに対してセキュアストレージアクセス例外が発生していました。このビットは非エクスポート側のゲストセキュアストレージ（メモリ）に設定されていますが、寄贈されたページはカーネルがエクスポートを許可されていないため、Ultravisorに寄贈されたストレージには存在しません。このパッチ以前は、arch_make_folio_accessible()を呼び出してページをエクスポートしようとしていましたが、この関数はビットが存在しないため即座に戻り、ページはすでにエクスポート済みであり追加の処理は不要と判断されていました。これにより、解決不能なセキュアストレージアクセス例外のループが発生していました。このパッチでは無条件にエクスポートを試み、もし失敗した場合は修正処理を行うようにしています。

Linuxカーネルにおいて、以下の脆弱性が修正されました。LoongArchのKVMに関するEIOINTCのcoremapが空の場合の処理です。EIOINTCのcoremapはeiointc_update_sw_coremap()内で空になることがあり、現在この場合はcpuidが-1となっていますが、実際にはcpuidが4以上の場合と同様に0が必要です。この修正により、kvm_arch::phyid_map::phys_map[]への範囲外アクセスを防止します。

Linuxカーネルにおいて、以下の脆弱性が修正されました。can: gw: cgw_csum_crc8_rel()におけるヒープの範囲外アクセスの修正です。cgw_csum_crc8_rel()はcalc_idx()を通じて境界安全なインデックスを正しく計算しています。int from = calc_idx(crc8-from_idx, cf-len); int to = calc_idx(crc8-to_idx, cf-len); int res = calc_idx(crc8-result_idx, cf-len); if (from 0 || to 0 || res 0) return; しかしながら、その後のループと結果の書き込みにおいては、計算済みの変数ではなく、生のs8フィールドが直接使用されています。for (i = crc8-from_idx; ...) /* バグ: 生の負のインデックス */ cf-data[crc8-result_idx] = ...; /* バグ: 生の負のインデックス */ from_idx = to_idx = result_idx = -64で64バイトのCAN FDフレームの場合、calc_idx(-64, 64) = 0となり、ガードは通過しますが、ループはi = -64で繰り返され、cf-data[-64]を読み込み、書き込みもcf-data[-64]に対して行われます。この書き込みはヒープ上のcanfd_frameの開始位置より56バイト（7.0-rc）または40バイト（6.19以下）前の領域に及ぶ可能性があります。対応関数cgw_csum_xor_rel()は`from`/`to`/`res`を適切に使用しているため、cgw_csum_crc8_rel()もこれに合わせて修正されました。linux-7.0-rc2のKASANにより以下のように確認されています。BUG: KASAN: slab-out-of-bounds in cgw_csum_crc8_rel+0x515/0x5b0 Read of size 1 at addr ffff8880076619c8 by task poc_cgw_oob/62 can-gwのcrc8チェックサムを設定するにはCAP_NET_ADMIN権限が必要です。

openFPGALoaderはFPGAのプログラミング用ユーティリティです。バージョン1.1.1およびそれ以前には、BitParser::parseHeader()にヒープバッファオーバーフロー読み取りの脆弱性が存在し、細工された.bitファイルを解析する際にヒープメモリの境界外アクセスを許します。この脆弱性を引き起こすためにFPGAハードウェアは必要ありません。

openFPGALoaderはFPGAをプログラミングするためのユーティリティです。バージョン1.1.1およびそれ以前には、POFParser::parseSection()にヒープバッファオーバーフローの読み取り脆弱性が存在し、細工された.pofファイルを解析する際にヒープメモリの境界外アクセスが発生します。この脆弱性を引き起こすためにFPGAハードウェアは必要ありません。

Linuxカーネルにおいて、以下の脆弱性が修正されました。BluetoothのL2CAPに関連する問題で、l2cap_ecred_conn_req関数におけるスタック境界外読み取りが修正されました。Syzbotは、MalformedなEnhanced Credit Based Connection Requestによってトリガーされるl2cap_build_cmd()内のKASANスタック境界外読み取りを報告しました。この脆弱性はl2cap_ecred_conn_req()関数に起因します。この関数は最大5つのSource Channel ID（SCID）を格納するためにローカルスタックバッファ（`pdu`）を割り当てますが、そのサイズは合計18バイトです。攻撃者が5つを超えるSCIDを含むリクエストを送信した場合、関数は未検証の`cmd_len`に基づいて`rsp_len`を計算し、その後にSCID数がL2CAP_ECRED_MAX_CIDを超えているかをチェックします。SCID数が多すぎる場合、関数は正しく`response`ラベルにジャンプしてパケットを拒否しますが、`rsp_len`は攻撃者による過大な値のままとなります。その結果、l2cap_send_cmd()は18バイトの`pdu`バッファの終端を超えて読み取りを行い、KASANパニックを引き起こします。この問題を修正するために、`rsp_len`の割り当てを`num_scid`の境界チェック後に移動しました。パケットが拒否される場合は、`rsp_len`は安全に0のままとなり、エラーレスポンスはスタック上の8バイトのベースヘッダーのみを読み取るようになります。

Linuxカーネルにおいて、以下の脆弱性が修正されました。perfでは、グループに対してpmu_ctx-pmuを確実に使用するようにしました。Oliverは、group_sched_in()が失敗してロールバックが必要な場合にx86_pmu_del()が境界外のメモリアクセスを行ってしまうことを報告しました。この問題はトランザクションコールバックで処理されるべきですが、グループリーダーがソフトウェアイベントの場合に誤ったPMUのトランザクションハンドラが使用されていることが判明しました。perf_event_open()のmove_groupケースやgroup_sched_in()がpmu_ctx-pmuを使用しているにもかかわらず問題が発生していました。実際には、inheritがイベントをクローンする際にevent-pmuを使用していたため、継承されたすべてのコンテキストに対してmove_groupケースが無効になっていました。これを修正するために、inheritもpmu_ctx-pmuを使用し、すべての継承カウンタが同じpmuコンテキストに属するようにしました。これと同様に、__perf_event_read()もグループの場合にpmu_ctx-pmuを使用するようにしました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。smbクライアントがシンボリックリンクのエラー応答を解析する際に範囲外読み取りの問題が発生していました。CREATEがSTATUS_STOPPED_ON_SYMLINKを返すと、smb2_check_message()は長さ検証を行わずに成功を返し、信頼できないサーバーに対して唯一の防御であるシンボリックリンクパーサーに依存する状態となっていました。symlink_data()関数はSMB 3.1.1のエラーコンテキストを走査する際、範囲外読み取りを引き起こす可能性があり、ヒープ内の未初期化データが読み取られてしまう原因となっていました。smb2_parse_symlink_response()も代替名の範囲検査に誤りがあり、代替名の読み取りがiov_lenを超えて行われる場合がありました。これらの問題は、ループの条件を厳格化し、代替名の範囲検査を正しく行うことで修正されました。その結果、範囲外読み取りが防止され、シンボリックリンクのターゲットが安全にユーザースペースに返されるようになりました。

GIMPに脆弱性が発見されました。この脆弱性は、特別に細工されたICNS画像ファイルを処理する際に発生する`icns_slurp()`関数のヒープバッファオーバーリードです。攻撃者は悪意のあるICNSファイルを提供することで、該当ファイルを処理するシステム上でアプリケーションをクラッシュさせたり、情報を漏洩させたりする可能性があります。

BACnet Stackは組み込みシステム向けのBACnetオープンソースプロトコルスタックCライブラリです。バージョン1.4.3より前のバージョンには、bacnet-stackのReadPropertyMultipleサービスプロパティデコーダにおいて、割り当てられたバッファ境界を越えて読み取る境界外読み取りの脆弱性が存在します。この脆弱性は認証されていないリモート攻撃者が、切り詰められたプロパティリストを含むRPMリクエストを送信することで悪用可能です。この脆弱性は、src/bacnet/rpm.cの344行目でrpm_decode_object_property()が廃止されたdecode_tag_number_and_value()関数を呼び出していることに起因します。この関数はバッファ長のパラメータを受け取らず、受け取ったポインタから無制限に読み取ってしまいます。拡張タグマーカー（0xF9）を含む1バイトのプロパティペイロードを持つ巧妙に作成されたBACnet/IPパケットによって、デコーダはバッファの終端から1バイトを超えて読み取ってしまい、組み込みBACnetデバイスでクラッシュを引き起こします。この脆弱性はsrc/bacnet/rpm.cに存在し、ReadPropertyMultiple確認済みサービスハンドラ（リファレンスサーバーでデフォルトで有効化されている）を有効にした全ての展開に影響します。この脆弱性はバージョン1.4.3で修正されました。

Apache Thriftにおける境界外読み取りの脆弱性です。この問題はApache Thriftのバージョン0.23.0未満に影響します。ユーザーは本問題を修正したバージョン0.23.0へアップグレードすることを推奨します。

Linuxカーネルにおいて、wifi: mt76: mt76_connac2_mac_write_txwi_80211()関数に存在していた範囲外アクセスの可能性を修正しました。具体的には、mt76_connac2_mac_write_txwi_80211内でmgmtフィールドにアクセスする前にフレーム長のチェックを追加し、範囲外アクセスを防止しています。また、mgmt-u.action.u.addba_req.capabへのチェックも修正しており、これによりメモリの安全性が向上しました。

Linuxカーネルにおいて、以下の脆弱性が修正されました：ALSAのusb-audioに関するもので、UAC3ヘッダー検証のために正しいバージョンを使用する必要があります。UAC3 ACヘッダーディスクリプタのバリデータテーブルのエントリが誤ってプロトコルバージョンUAC_VERSION_2で定義されており、本来はUAC_VERSION_3でなければなりませんでした。このため、実際のUAC3デバイス（プロトコル==UAC_VERSION_3）に対してバリデータが一致せず、そのヘッダーディスクリプタが検証を完全に回避してしまいます。悪意のあるUSBデバイスが切り詰められたUAC3ヘッダーを提示すると、ドライバーが未検証のディスクリプタフィールドに後でアクセスする際に境界外読み取りを引き起こす可能性があります。このバグは、最近修正されたUAC3機能ユニットサブタイプのタイプミスと同じコミットで導入されており、UAC3セクションがUAC2セクションから作成された際の同じコピー＆ペーストの誤りによるものでした。

Linuxカーネルにおいて、以下の脆弱性が修正されました。wifiのmt76ドライバーで、mt7996の関数mt7996_mac_write_txwi_80211()における範囲外アクセスの可能性が修正されました。具体的には、mt7996_mac_write_txwi_80211関数内でmgmtフィールドにアクセスする前にフレームの長さを確認し、範囲外アクセスの可能性を回避しています。

Linuxカーネルにおいて、以下の脆弱性が修正されました。cxl/mboxのcxl_payload_from_user_allowed()関数内で、内容にアクセスする前にペイロードサイズを検証するように修正しました。cxl_payload_from_user_allowed()は入力ペイロードのサイズを検証せずにキャストして参照していました。生のメールボックスコマンドがサイズ不足のペイロード（例：16バイトのUUIDを期待するCXL_MBOX_OP_CLEAR_LOGに対し1バイト）で送信された場合、uuid_equal()が割り当てられたバッファを越えて読み込み、KASANのスプラットエラーが発生しました。具体的には、memcmp関数内でスラブバッファの境界外読み込みが検知されました。この問題を解決するために、cxl_payload_from_user_allowed()に'in_size'パラメータを追加し、ペイロードが十分な大きさであるかを検証するように修正しました。

FFmpeg v8.0.1のread_global_param()関数(libavcodec/av1dec.c)における範囲外読み取りの脆弱性により、攻撃者が細工された入力を使ってサービス拒否（DoS）を引き起こす可能性があります。

Linuxカーネルにおいて、以下の脆弱性が修正されました。wifi: mt76: mt7925のmt7925_mac_write_txwi_80211()における可能性のある範囲外アクセス（OOBアクセス）を修正しました。mt7925_mac_write_txwi_80211関数内で、管理フレーム(mgmt)のフィールドにアクセスする前にフレーム長を確認し、範囲外アクセスの可能性を回避します。

Linuxカーネルにおいて、以下の脆弱性が修正されました。Squashfsにおいてメタデータブロックのオフセットが範囲内であることを確認する問題がありました。Syzkallerは「squashfs_copy_dataにおける一般保護違反」を報告しました。これは最終的に破損したインデックス・ルックアップテーブルが原因で、負のメタデータブロックオフセットが生成される問題です。この負のオフセットはsquashfs_read_metadataを介してsquashfs_copy_dataに渡され、範囲外アクセスを引き起こしました。修正はsquashfs_read_metadata内でオフセットが範囲内かどうかをチェックすることです。これにより、このケースおよび他のケースも検出されます。

Linuxカーネルにおいて、以下の脆弱性が修正されました。nfnetlink_osfにおいて、フィンガープリント内の個々のオプション長の検証が強化されました。nfnl_osf_add_callback()はopt_numの範囲と文字列のNUL終端を検証しますが、個々のオプション長フィールドはこれまでチェックしていませんでした。長さゼロのオプションはfoptsizeの合計がゼロでもnf_osf_match_one()がオプションマッチングループに入る原因となり、ctx-optpがNULLの場合にはTCPオプションなしのパケットとマッチしてしまいます。これにより、一般保護違反が発生していました。また、MSSオプション（種別=2）で長さが4未満の場合、nf_osf_match_one()がoptp[2]およびoptp[3]に無条件にアクセスしてMSS値を抽出するため、範囲外の読み取りが発生します。RFC 9293のセクション3.2ではMSSオプションは常に正確に4バイト（種別=2、長さ=4）であると規定されていますが、チェックは"!= 4"ではなく" 4"を使用しています。これは4より大きい長さはメモリ安全性の問題を引き起こさず、ctx-optsize == foptsizeのチェックによりバッファが少なくともfoptsizeバイト確保されているためです。パケットマッチングのホットパスでこれらの値を信用するのではなく、追加時に任意のオプションが長さゼロであったり、MSSオプションの長さが4未満である場合にはフィンガープリントを拒否するようにしています。