脆弱性情報（JVN）検索・一覧

Windows上のGoogle Chrome 148.0.7778.216以前のバージョンのCoreにおけるUse after freeの脆弱性により、リモート攻撃者が細工されたHTMLページを介してサンドボックスエスケープを実行し、レンダラープロセスを侵害する可能性がありました。

Google Chrome 148.0.7778.216 未満のバージョンに存在する WebXR の Use after free の脆弱性により、細工された HTML ページを介してリモートの攻撃者がサンドボックス内で任意のコードを実行する可能性があります。

Google Chrome 148.0.7778.216 より前のバージョンの Input コンポーネントにおける Use after free の脆弱性により、リモートの攻撃者が細工された HTML ページを通じてレンダラープロセスを乗っ取り、サンドボックスを脱出する可能性がありました。

Linuxカーネルにおけるscsi: pm8001ドライバのpm8001_queue_command()関数にUse-After-Freeの脆弱性が存在していました。コミットe29c47fe8946によるリファクタリングで、phyのダウンやデバイス消失時に-ENODEVを返す処理が追加されましたが、この処理によりSASタスクの状態を正しく管理できず、二重解放が発生する恐れがありました。具体的には、pm8001_queue_command()がタスクを処理済みと示すために0を返すべきところを-ENODEVを返したため、libsasの上位層がタスクを重複して解放してしまう問題でした。この問題は、pm8001_queue_command()が状況に応じて正しく0を返すように修正され、解決しました。

Linuxカーネルにおいて、mm/damon/coreのdamos_walk()関数で非アクティブなコンテキストのwalk_controlをクリアしない問題が修正されました。この関数はコンテキストが実行中かどうかを確認する前に呼び出し元が提供したwalk_controlを設定しますが、もしコンテキストが非アクティブの場合、walk_controlをクリアせずにエラーを返します。このため、呼び出し元にスタック上の構造体へのダングリングポインタが残り、将来的にUse-after-freeや恒久的なエラーの原因となる可能性があります。しかし、実際の影響は限定的であり、DAMONが動作していない場合にのみ症状が発生します。本問題は、エラーを返す前にwalk_controlをクリアすることで修正されました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。ALSAのpcmに関するもので、snd_pcm_drain()のリンクされたストリームのruntimeに対するuse-after-freeの問題です。ドレインループ内で、ローカル変数'runtime'がリンクされたストリームのruntime（2157行目のruntime = s-runtime）に再代入されます。その後、2169行目でストリームロックを解放した後に、コードはruntime-no_period_wakeup、runtime-rate、およびruntime-buffer_size（2170-2178行目）にアクセスします。これらのフィールドはすべて、ロックや参照カウントによってその寿命が保護されていないリンクされたストリームのruntimeを参照していました。リンクされたストリームのファイルディスクリプタに対する同時のclose()操作によって、snd_pcm_release_substream() → snd_pcm_drop() → pcm_release_private() → snd_pcm_unlink() → snd_pcm_detach_substream() → kfree(runtime)が呼ばれます。同期機構が存在しないため、drainパスが古いポインタを参照している間にkfree(runtime)が完了してしまいました。修正は、ストリームロックを保持している間に必要なruntimeのフィールド（no_period_wakeup、rate、buffer_size）をローカル変数にキャッシュし、ロック解放後はキャッシュされた値を使用する方法によって行われました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。sched_extのscx_cgroup_init()内にある冗長なcss_put()の削除が行われました。css_for_each_descendant_pre()イテレータはcgroup_lock()の下でcgroup階層を走査しますが、yieldされるcss構造体の参照カウントを増加させません。cgroupのドキュメントによると、css_put()はcss_get()またはcss_tryget_online()で取得した参照を解放する場合にのみ使用すべきです。イテレータはこれらを使用して参照を取得していないため、scx_cgroup_init()のエラーパスでcss_put()を呼び出すと参照カウントのアンダーフローを引き起こします。不均衡なcss_put()を削除することで、潜在的なUse-After-Free(UAF)脆弱性を防止しています。

Linuxカーネルにおいて、以下の脆弱性が修正されました。net/manaでは、セットアップエラー時にservice_wqをNULLに設定し、二重破壊を防止します。mana_gd_setup()のエラーパスでは、mana_gd_cleanup()のクリーンアップに合わせてdestroy_workqueue()実行後にgc-service_wqをNULLに設定します。これにより、セットアップ失敗後にworkqueueポインタがチェックされた場合のuse-after-freeを防止します。

Linuxカーネルにおいて、以下の脆弱性が修正されました。iavfではリセット中のPTPのuse-after-freeの問題が修正されました。コミット7c01dbfc8a1c5f（"iavf: periodically cache PHC time"）はPHC時間をキャッシュするワーカーを導入しましたが、リセットまたは無効化時にこれを停止できていませんでした。これにより、`iavf_reset_task()`または`iavf_disable_vf()`がアダプターリソース（AQ）を解放している間もワーカーがまだ動作している競合状態が発生します。リソース解放時にワーカーが`iavf_queue_ptp_cmd()`を呼び出すと、解放済みのメモリやロックにアクセスし、クラッシュを引き起こします。この問題はアダプターを破棄する前に`iavf_ptp_release()`を呼び出すことで修正されました。これにより、`ptp_clock_unregister()`がワーカーを同期的にキャンセルし、破棄される前にchardevをクリーンアップすることが保証されます。

Linuxカーネルにおいて、以下の脆弱性が修正されました。serial: caif: ldisc_openおよびser_releaseでtty-linkの参照を保持します。再現手順は、caif_serialのTXパスがtty_write_room()を呼び出す際にpty_write_room()でKASANのスラブ使用後解放（use-after-free）を引き起こします。問題のアクセスはtty-link-portに対するものです。caif_serialラインディシプリンのライフタイム中にtty-linkに対して追加のkrefを保持します。ldisc_open()で取得し、ser_release()で解放し、さらにldisc_open()のエラーパスでも解放します。この変更を適用することで、私のテストでは再現手順によるUAFは発生しなくなりました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。ASoC: soc-coreにて、DAIおよびウィジェットを削除する前に遅延ワークをフラッシュする問題です。PCMストリームが開いている間にサウンドカードがバインド解除されると、close_delayed_workワークキューのハンドラから呼び出されるsnd_soc_dapm_stream_event()でuse-after-freeが発生する可能性がありました。バインド解除時にsnd_soc_unbind_card()は遅延ワークをフラッシュし、その後soc_cleanup_card_resources()を呼び出します。クリーンアップ内でsnd_card_disconnect_sync()はすべてのPCMファイルディスクリプタを解放し、その結果のPCMクローズパスはsnd_soc_dapm_stream_stop()を呼び出すことがあります。この関数はpmdown_timeタイマー遅延付きの新しい遅延ワークをスケジュールしますが、これはsnd_soc_unbind_card()のフラッシュ後に発生するため、新しいワークはキャッチされません。soc_remove_link_components()はその後、このワークが起動する前にDAPMウィジェットを解放し、use-after-freeを引き起こしていました。soc_free_pcm_runtime()にある既存のフラッシュも、soc_remove_link_components()がすでにウィジェットを解放した後に実行されるため有効ではありません。そこで、snd_card_disconnect_sync()の後（新しいPCMクローズがさらなる遅延ワークをスケジュールできないタイミング）で、soc_remove_link_dais()およびsoc_remove_link_components()（遅延ワークがアクセスする構造体を解体する前）より前に、soc_cleanup_card_resources()内でフラッシュ処理を追加しました。

スレッドがpoll(2)またはselect(2)呼び出しでファイル記述子を待機している間に、そのファイル記述子が閉じられる可能性があります。ブロック中のスレッドは基になるオブジェクトへの参照を保持していないため、この閉鎖によりスレッドがブロックされたままオブジェクトが解放される事態が発生します。この状況下では、カーネルはオブジェクトを解放する前にブロックされたスレッドをオブジェクト毎の待機キューから削除する必要があります。特定のファイル記述子タイプにおいて、カーネルはオブジェクト解放前にブロックされたスレッドをオブジェクトからリンク解除できていませんでした。そのため、ブロックされたスレッドがその後に起床すると、既に解放されたメモリにアクセスし、use-after-freeの脆弱性を引き起こします。このuse-after-free脆弱性は特権のないローカルユーザーによってトリガーされ、スーパーユーザー権限を取得するために悪用される可能性があります。

Mac版Google Chromeの148.0.7778.168より前のバージョンの拡張機能におけるUse after freeの脆弱性により、悪意のある拡張機能のインストールをユーザーに促した攻撃者が、巧妙に作成されたChrome拡張機能を介して任意のコードを実行できる可能性がありました。

Linux上のGoogle Chromeの148.0.7778.179より前のバージョンのWebRTCにUse after freeの脆弱性が存在したため、遠隔の攻撃者が細工されたHTMLページを介して任意のコードを実行できる可能性がありました。

Windows上のGoogle Chromeのバージョン148.0.7778.179未満のGPUに存在するUse after freeの脆弱性により、リモート攻撃者が細工されたHTMLページを通じてサンドボックス内で任意のコードを実行できる可能性があります。

Google Chromeの148.0.7778.179以前のバージョンにおけるQUICのUse after free脆弱性により、リモート攻撃者が悪意のあるネットワークトラフィックを介してサンドボックス内で任意のコードを実行できます。

Windows上のGoogle Chrome 148.0.7778.179より前のバージョンにおいて、XRのUse after freeの脆弱性により、リモートの攻撃者が細工されたHTMLページを介して任意のコードを実行する可能性がありました。

Google Chromeの148.0.7778.179以前のバージョンに存在するWebRTCのUse after freeの脆弱性により、リモートの攻撃者が細工されたHTMLページを介して任意のコードを実行できる可能性がありました。

Linuxカーネルにおいて、nvdimm/busの非同期初期化時に発生する解放後使用の脆弱性が修正されました。DingisoulがKASANを用いて発見したもので、nd_async_device_register()内でdevice_add()の失敗時に解放後使用が起こる問題です。親デバイスの参照を非同期初期化が完了するまで保持する処理において、device_add()が失敗すると親ポインタの参照解放が適切に行われず、問題が発生しました。この問題は親参照の管理を修正し、device_add()の結果にかかわらず親参照を適切に解放することで対処されました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。BluetoothのSCOに関する問題で、sco_recv_frame()関数におけるsock_holdの欠如によるuse-after-freeの脆弱性です。sco_recv_frame()はsco_conn_lock()のロック下でconn-skを読み取りますが、ソケットの参照を保持せずに直ちにロックを解放します。その間に並行処理でclose()がソケットを解放する可能性があり、ロック解放後にsk-sk_stateへアクセスするとuse-after-freeが発生します。同じファイル内の他の関数（sco_sock_timeout()、sco_conn_del()）は、ロック下で安全に参照を保持するために適切にsco_sock_hold()を使用しています。この修正では、ロックを解放する前に参照を取得するためにsco_sock_hold()を使用し、すべての終了パスでsock_put()を呼び出すようにしました。

Linuxカーネルには、bond_xmit_broadcast()関数におけるuse-after-freeの脆弱性が存在していました。この関数は、最後のスレーブに対して元のskbを再利用し、それ以外にはクローンを作成しますが、スレーブの追加・削除が同時に発生すると、最後のスレーブが変わり、結果的にskbが二重に解放される可能性がありました。この問題は、bond_is_last_slave()のチェックをループ前に取得したスナップショットのスレーブ数と比較する方式に変更することで修正されました。この修正により、UAFによるクラッシュやメモリ破壊のリスクが解消されました。

LinuxカーネルにおけるACPI ECドライバには、プローブ失敗時にハンドラのクリーンアップを適切に行わない欠陥が存在していました。この問題により、解放されたハンドラコンテキストが残存し、後続のEC OpRegionアクセスでuse-after-freeが発生する恐れがありました。縮小ハードウェアプラットフォームではGPIO IRQプロバイダのプローブ遅延が発生すると、非特権ユーザーがsysfs経由でダングリングポインタを利用してアクセスできるリスクがありました。修正では、エラー経路においてec_remove_handlers()を呼び出し、ハンドラの状態を適切にクリアすることでこの問題に対応しています。

Linuxカーネルにおいて、以下の脆弱性が修正されました。ocfs2のinode読み込み時におけるインラインデータのi_size検証の問題です。ディスクからinodeを読み込む際に、ocfs2_validate_inode_block()はさまざまな整合性チェックを行いますが、インラインデータのサイズを検証していませんでした。ファイルシステムが破損している場合、inodeのi_sizeが実際のインラインデータ容量(id_count)を超えることがあります。これにより、ocfs2_dir_foreach_blk_id()がインラインデータバッファを越えて繰り返し処理を行い、解放済みメモリからディレクトリエントリにアクセスした際にUse-After-Freeが発生します。syzbotレポートによると、i_sizeが1099511627576バイト（約1TB）で、実際のインラインデータ容量(id_count)は通常256バイト未満でした。無効なrec_len(54648)によりctx-posが範囲外に飛び、ocfs2_check_dir_entry()でUAFが発生しました。対策として、ocfs2_validate_inode_block()において、インラインデータを持つinodeのi_sizeがid_count以下であることを検証するチェックが追加されました。これにより、inode読み込み時に破損を早期に検出し、不正データに基づく後続の処理を防止します。

Linuxカーネルにおいて、以下の脆弱性が修正されました。usb: renesas_usbhsにおけるデバイス削除時のISR内でのuse-after-freeの問題を修正しました。usbhs_remove()では、ドライバが割り込みハンドラ(usbhs_interrupt)をまだ登録している間にパイプ配列を含むリソースを解放していました。usbhs_pipe_remove()の後でドライバの完全なバインド解除前に割り込みが発生すると、ISRが解放済みメモリにアクセスし、use-after-freeが発生する可能性があります。これを修正するために、リソースを解放する前にdevm_free_irq()を呼び出すようにしました。これにより、usbhs_pipe_remove()が呼び出される前に割り込みハンドラが無効化され、同期（実行中のISRの完了を待機）されることが保証されます。

Microsoft OfficeのUse after freeの脆弱性により、不正な攻撃者がローカルでコードを実行できる可能性があります。

Microsoft Office ExcelのUse after freeの脆弱性により、不正な攻撃者がローカルでコードを実行できる可能性があります。

Microsoft Office WordのUse after freeの脆弱性により、不正な攻撃者がローカル環境でコードを実行できる可能性があります。

Microsoft Office WordのUse after free脆弱性により、不正な攻撃者がローカルでコードを実行できる可能性があります。

Microsoft Office Click-To-RunにおけるUse after freeの脆弱性により、権限を持つ攻撃者がローカル環境で権限を昇格させることが可能となります。

Microsoft OfficeのUse after freeの脆弱性により、権限のある攻撃者がローカルで権限を昇格させることが可能です。

Linuxカーネルにおいて、以下の脆弱性が修正されました：smb: serverのsmb2_open()関数に存在したuse-after-freeの問題です。rcu_dereference(fp-f_opinfo)を介して取得されたopinfoポインタがrcu_read_unlock()の後にデリファレンスされることで、use-after-freeの脆弱性が発生していました。

Android版Google Chromeの148.0.7778.168以前のバージョンにおいて、InputのUse after freeの脆弱性により、リモートの攻撃者が細工されたHTMLページを介してサンドボックスを脱出し、レンダラープロセスを侵害する可能性がありました。

Mac版Google Chromeの148.0.7778.168より前のバージョンのDownloadsにおけるUse after freeの脆弱性により、リモートの攻撃者が細工されたHTMLページを介して任意のコードを実行できる可能性がありました。

Windows向けGoogle Chromeのバージョン148.0.7778.168以前には、NetworkにおけるUse after freeの脆弱性が存在しました。この脆弱性により、リモートの攻撃者が細工されたHTMLページを介してレンダラープロセスを乗っ取り、サンドボックスから脱出する可能性がありました。

Windows上のGoogle Chromeバージョン148.0.7778.168以前のCoreにおけるUse after freeの脆弱性により、リモートの攻撃者が細工されたHTMLページを介してレンダラープロセスを乗っ取り、サンドボックスから脱出する可能性がありました。

Google Chromeの148.0.7778.168以前のバージョンのMediaにおけるUse after freeの脆弱性により、リモートの攻撃者が細工されたHTMLページを介してサンドボックス内で任意のコードを実行できる可能性がありました。

Google Chromeの148.0.7778.168以前のMediaコンポーネントにおけるUse after freeの脆弱性により、リモート攻撃者が細工されたHTMLページを介してサンドボックス内で任意のコードを実行できる可能性がありました。

Windows版Google Chromeの148.0.7778.168より前のバージョンに存在するGTKのUse after freeの脆弱性により、リモートの攻撃者が細工されたHTMLページを介して任意のコードを実行できる可能性があります。

Windows上の148.0.7778.168より前のGoogle ChromeのCoreにおけるUse after freeにより、リモート攻撃者が細工されたHTMLページを介してレンダラープロセスを侵害し、サンドボックスから脱出する可能性がありました。

Google Chrome 148.0.7778.168より前のバージョンのUIにおけるUse after freeの脆弱性により、リモートの攻撃者が細工されたHTMLページを介してレンダラープロセスを侵害し、サンドボックスからの脱出を行う可能性がありました。