脆弱性情報（JVN）検索・一覧

Linuxカーネルにおいて、wifi: mt76: mt76_connac2_mac_write_txwi_80211()関数に存在していた範囲外アクセスの可能性を修正しました。具体的には、mt76_connac2_mac_write_txwi_80211内でmgmtフィールドにアクセスする前にフレーム長のチェックを追加し、範囲外アクセスを防止しています。また、mgmt-u.action.u.addba_req.capabへのチェックも修正しており、これによりメモリの安全性が向上しました。

Linuxカーネルにおいて、以下の脆弱性が修正されました：ALSAのusb-audioに関するもので、UAC3ヘッダー検証のために正しいバージョンを使用する必要があります。UAC3 ACヘッダーディスクリプタのバリデータテーブルのエントリが誤ってプロトコルバージョンUAC_VERSION_2で定義されており、本来はUAC_VERSION_3でなければなりませんでした。このため、実際のUAC3デバイス（プロトコル==UAC_VERSION_3）に対してバリデータが一致せず、そのヘッダーディスクリプタが検証を完全に回避してしまいます。悪意のあるUSBデバイスが切り詰められたUAC3ヘッダーを提示すると、ドライバーが未検証のディスクリプタフィールドに後でアクセスする際に境界外読み取りを引き起こす可能性があります。このバグは、最近修正されたUAC3機能ユニットサブタイプのタイプミスと同じコミットで導入されており、UAC3セクションがUAC2セクションから作成された際の同じコピー＆ペーストの誤りによるものでした。

Linuxカーネルにおいて、以下の脆弱性が修正されました。wifiのmt76ドライバーで、mt7996の関数mt7996_mac_write_txwi_80211()における範囲外アクセスの可能性が修正されました。具体的には、mt7996_mac_write_txwi_80211関数内でmgmtフィールドにアクセスする前にフレームの長さを確認し、範囲外アクセスの可能性を回避しています。

Linuxカーネルにおいて、以下の脆弱性が修正されました。cxl/mboxのcxl_payload_from_user_allowed()関数内で、内容にアクセスする前にペイロードサイズを検証するように修正しました。cxl_payload_from_user_allowed()は入力ペイロードのサイズを検証せずにキャストして参照していました。生のメールボックスコマンドがサイズ不足のペイロード（例：16バイトのUUIDを期待するCXL_MBOX_OP_CLEAR_LOGに対し1バイト）で送信された場合、uuid_equal()が割り当てられたバッファを越えて読み込み、KASANのスプラットエラーが発生しました。具体的には、memcmp関数内でスラブバッファの境界外読み込みが検知されました。この問題を解決するために、cxl_payload_from_user_allowed()に'in_size'パラメータを追加し、ペイロードが十分な大きさであるかを検証するように修正しました。

FFmpeg v8.0.1のread_global_param()関数(libavcodec/av1dec.c)における範囲外読み取りの脆弱性により、攻撃者が細工された入力を使ってサービス拒否（DoS）を引き起こす可能性があります。

Linuxカーネルにおいて、以下の脆弱性が修正されました。wifi: mt76: mt7925のmt7925_mac_write_txwi_80211()における可能性のある範囲外アクセス（OOBアクセス）を修正しました。mt7925_mac_write_txwi_80211関数内で、管理フレーム(mgmt)のフィールドにアクセスする前にフレーム長を確認し、範囲外アクセスの可能性を回避します。

Linuxカーネルにおいて、以下の脆弱性が修正されました。Squashfsにおいてメタデータブロックのオフセットが範囲内であることを確認する問題がありました。Syzkallerは「squashfs_copy_dataにおける一般保護違反」を報告しました。これは最終的に破損したインデックス・ルックアップテーブルが原因で、負のメタデータブロックオフセットが生成される問題です。この負のオフセットはsquashfs_read_metadataを介してsquashfs_copy_dataに渡され、範囲外アクセスを引き起こしました。修正はsquashfs_read_metadata内でオフセットが範囲内かどうかをチェックすることです。これにより、このケースおよび他のケースも検出されます。

Linuxカーネルにおいて、以下の脆弱性が修正されました。nfnetlink_osfにおいて、フィンガープリント内の個々のオプション長の検証が強化されました。nfnl_osf_add_callback()はopt_numの範囲と文字列のNUL終端を検証しますが、個々のオプション長フィールドはこれまでチェックしていませんでした。長さゼロのオプションはfoptsizeの合計がゼロでもnf_osf_match_one()がオプションマッチングループに入る原因となり、ctx-optpがNULLの場合にはTCPオプションなしのパケットとマッチしてしまいます。これにより、一般保護違反が発生していました。また、MSSオプション（種別=2）で長さが4未満の場合、nf_osf_match_one()がoptp[2]およびoptp[3]に無条件にアクセスしてMSS値を抽出するため、範囲外の読み取りが発生します。RFC 9293のセクション3.2ではMSSオプションは常に正確に4バイト（種別=2、長さ=4）であると規定されていますが、チェックは"!= 4"ではなく" 4"を使用しています。これは4より大きい長さはメモリ安全性の問題を引き起こさず、ctx-optsize == foptsizeのチェックによりバッファが少なくともfoptsizeバイト確保されているためです。パケットマッチングのホットパスでこれらの値を信用するのではなく、追加時に任意のオプションが長さゼロであったり、MSSオプションの長さが4未満である場合にはフィンガープリントを拒否するようにしています。

Linuxカーネルにおいて、以下の脆弱性が修正されました。AppArmorのmatch_char()マクロ使用時に発生する副作用バグを修正しました。match_char()マクロは差分符号化チェーンを辿る際に文字パラメータを複数回評価します。*str++で呼び出されると、内部のdo-whileループの各イテレーションで文字列ポインタが進み、DFAは各イテレーションで異なる文字をチェックします。そのため入力文字をスキップしてしまいます。これにより、ポインタが入力バッファの境界を越えて進むと、境界外読み取りが発生します。修正は、match_char呼び出し前に文字の値を抽出し、外側ループでの単一評価を保証することによって行われました。

LinuxカーネルのAppArmorにおいて、verify_dfa()関数でDEFAULTテーブルの境界チェックが不十分であった問題を修正しました。この関数は差分エンコードが有効な場合にのみ境界チェックを実施しており、不正なDFAデータにより境界外の読み書きが発生する可能性がありました。本修正ではMATCH_FLAG_DIFF_ENCODE条件を削除し、すべてのDEFAULT_TABLEエントリを無条件に検証するようにしました。

Windowsの暗号化ファイルシステム（EFS）における範囲外読み取りの脆弱性により、認可された攻撃者がローカルで権限を昇格させることが可能です。

不正なバックエンドは、autoUpgrade（Lua）オプションのnewServerまたはauto_upgrade（YAML）設定経由で要求された場合に、指定されたリゾルバーの検出（Discovery of Designated Resolvers）リクエストに対して細工されたSVCBレスポンスを送信できます。DDRアップグレードはデフォルトで無効になっています。

Windows Storage Spaces Controllerにおける境界外読み取りの脆弱性により、認証済みの攻撃者がローカルで特権を昇格させることが可能です。

WasmtimeはWebAssemblyのランタイムです。バージョン24.0.7、36.0.7、42.0.2、および43.0.1以前には、UTF-16文字列をlatin1+utf16コンポーネントモデルエンコーディングにトランスコーディングする際に、境界チェックの入力文字列のバイト長を誤って検証する脆弱性が存在しました。具体的には、コード単位の数がチェックされていましたが、実際のバイト長はコード単位の2倍であるため誤りです。この脆弱性により、ホストがWebAssemblyのリニアメモリの末尾を超えて読み取ろうとし、存在しないバイトをトランスコードしようとする可能性があります。Wasmtimeのデフォルト設定では、ガードページ上の未マップメモリを読み取る際にセグメンテーションフォルトが発生し、プロセスが終了します。しかし、ガードページなしで設定された場合には、リニアメモリの末尾を超えたホストメモリが読み取られ、UTF-16として解釈される可能性があります。ホストのセグメンテーションフォルトはWasmtimeにおけるサービス拒否の脆弱性であり、さらにリニアメモリの末尾を超えて読み取りが可能であることも脆弱性です。リニアメモリ末尾の超過読み取りを引き起こすには、ガードページが無効化された非標準の設定が必要です。この脆弱性はバージョン24.0.7、36.0.7、42.0.2、および43.0.1で修正されました。

Windows HTTP.sysにおける境界外読み取りにより、不正な攻撃者がネットワーク経由でサービス拒否を引き起こす可能性があります。

ImageMagickは、デジタル画像の編集および操作に使用される無料かつオープンソースのソフトウェアです。バージョン7.1.2-19および6.9.13-44未満のバージョンにおいて、`sample:offset`定義を介して特定のオフセットが設定された場合、-sample操作が境界外読み取りを引き起こす可能性があります。この問題はバージョン6.9.13-44および7.1.2-19で修正されています。

Sleuth Kit 4.14.0までのバージョンには、ISO9660ファイルシステムパーサーに境界外読み取りの脆弱性があります。parse_susp()関数は、ディスクイメージから取得したlen_id、len_des、およびlen_srcフィールドを信頼し、ソースデータが解析対象のSUSPブロック内に収まっているかを検証せずにスタックバッファにデータをmemcpyします。攻撃者は悪意のあるISOイメージを作成してSUSPデータバッファの末尾を越えて読み取りを発生させることができ、長さ0のSUSPエントリは無限パースループを引き起こす可能性があります。

Google Chrome 147.0.7727.101以前のMediaにおける範囲外読み取りの脆弱性により、リモートの攻撃者が特定のUIジェスチャーを実行するようユーザーを説得し、細工されたHTMLページを介して任意のコードを実行できる可能性がありました。

InDesign Desktop バージョン 20.5.2、21.2 およびそれ以前のバージョンは、細工されたファイルを解析する際にバッファ外読み取りの脆弱性の影響を受けます。この脆弱性により、割り当てられたメモリ構造の終端を超えて読み取る可能性があります。攻撃者はこの脆弱性を悪用して、現在のユーザーの権限でコードを実行できます。この問題を悪用するためには、被害者が悪意のあるファイルを開くというユーザーの操作が必要です。

InCopyのバージョン20.5.2、21.2およびそれ以前のバージョンには、細工されたファイルを解析する際に境界外読み取りの脆弱性があります。この脆弱性によって、割り当てられたメモリ構造の終端を超えて情報を読み取ってしまう可能性があります。攻撃者はこの脆弱性を悪用し、現在のユーザーのコンテキストでコードを実行できます。この問題を悪用するにはユーザーの操作が必要であり、被害者が悪意のあるファイルを開く必要があります。

Photoshop Desktop バージョン 27.4 以前には、細工されたファイルを解析する際に境界外読み取りの脆弱性が存在し、割り当てられたメモリ構造の末尾を越えて読み取ってしまう可能性がありました。攻撃者はこの脆弱性を悪用して、現在のユーザーのコンテキストでコードを実行できます。この問題を悪用するためには、被害者が悪意のあるファイルを開く必要があります。

Adobe FrameMakerのバージョン2022.8およびそれ以前のバージョンは、細工されたファイルを解析する際に境界外読み取りの脆弱性の影響を受けます。この脆弱性により、割り当てられたメモリ構造の末尾を超えて読み取る可能性があります。攻撃者はこの脆弱性を悪用して、現在のユーザーのコンテキストでコードを実行できます。この問題を悪用するには、犠牲者が悪意のあるファイルを開くというユーザーの操作が必要です。

ZLMediaKitはストリーミングメディアサービスのフレームワークです。ext-codec/VP9Rtp.cppのVP9 RTPペイロードパーサは、最初のバイトのフラグビットに基づいてRTPペイロードから複数のフィールドを読み取りますが、バッファ内に十分なデータが存在するかどうかを検証しません。細工された1バイトのペイロード（すべてのフラグがセットされた0xFF）を持つVP9 RTPパケットは、割り当てられたバッファの末尾を超えてパーサが読み取る原因となり、ヒープバッファオーバーフローを引き起こします。この脆弱性はコミット435dcbcbbf700fd63b2ca9eac6cef3b5ea75169dで修正されました。