脆弱性情報（JVN）検索・一覧

メモリ管理の改善により、使用後の解放に関する問題を対処しました。この問題はiOS 18.7.9およびiPadOS 18.7.9、iOS 26.5およびiPadOS 26.5、macOS Sequoia 15.7.7、macOS Sonoma 14.8.7、macOS Tahoe 26.5、tvOS 26.5、visionOS 26.5、watchOS 26.5で修正されています。リモートの攻撃者が予期しないシステムの終了やカーネルメモリの破損を引き起こす可能性があります。

MongoDBのフィールドレベル暗号化（FLE）のクエリ解析コンポーネントにUse-after-freeの脆弱性が存在し、mongocryptdおよびcrypt_sharedのクライアント側で使用される際に影響を及ぼします。この脆弱性が発生するには、クライアントのFLE関連クエリの構造を制御する必要があります。本問題はMongoDB Serverのmongocryptdコンポーネントのv7.0.34未満のv7.0系、v8.0.23未満のv8.0系、v8.2.9未満のv8.2系、およびv8.3.2未満のv8.3系に影響を与えます。

改良されたメモリ管理により、use-after-freeの問題が対処されました。この問題はiOS 16.5およびiPadOS 16.5、macOS Ventura 13.4、tvOS 16.5、visionOS 1.0、watchOS 9.5で修正されています。悪意のある細工が施されたウェブコンテンツの処理により、予期しないプロセスクラッシュが発生する可能性があります。

メモリ管理の改善により、使用後の解放（use after free）問題に対処しました。この問題は、iOS 18.7.9およびiPadOS 18.7.9、iOS 26.5およびiPadOS 26.5、macOS Sequoia 15.7.7、macOS Sonoma 14.8.7、macOS Tahoe 26.5、tvOS 26.5、visionOS 26.5、watchOS 26.5で修正されています。これにより、アプリが予期しないシステムの終了を引き起こす可能性がある問題を防ぎます。

Linuxカーネルにおいて、reset: gpioに関するsysfsのbind属性を抑制する脆弱性が修正されました。この属性は動的に作成される特別なデバイスに対して設定されており、永続的にメモリ上に存在する必要がありますが、実際のリセット制御用のdevlinkが存在していません。sysfsのbind属性を抑制することで、ユーザースペースによるunbind操作を防止し、reset制御ハンドルを扱うユーザーがunbindを行った際に発生するuse-after-freeによるクラッシュを防止しています。

Linuxカーネルのnet: wan: farsyncドライバにはuse-after-freeの脆弱性が存在し、カードの取り外し時に未完了のタスクリストが解放済みのメモリにアクセスすることで発生します。この脆弱性によりカーネルの動作が不安定になる可能性があります。修正によりカードの解放処理が適切に管理され、use-after-freeの問題が防止されました。

Linuxカーネルのdrm/atmel-hlcdcに存在する脆弱性は、drm_crtc_commit解放後のUse-After-Freeを引き起こしていました。この問題は、atmel_hlcdc_plane_atomic_duplicate_state()コールバックがdrm_plane_stateを正しく複製せず、古いcommit状態を参照し続けていたことに起因していました。修正により、__drm_atomic_helper_duplicate_plane_state()を使用して状態を適切に複製するように変更されました。この脆弱性は、別のDRMクライアントが接続中にデバイスノードを閉じて再オープンした場合に発生する可能性があります。

Linuxカーネルのamdgpuドライバに存在する脆弱性は、amdgpu_gem_va_ioctl関数のフェンス同期管理の不具合に起因しています。不適切なフェンス参照の扱いからuse-after-freeが発生し、GPUタイムラインの更新時にカーネルクラッシュやカーネルパニックを引き起こす可能性がありました。本修正により、フェンスの参照管理を適切に行い、参照カウントのアンダーフローを防止しました。また、タイムラインとフェンスの同期処理も改善しています。これにより、関連するカーネルパニックや割り込み時の致命的例外の発生を防止しています。

Linuxカーネルにおいて、以下の脆弱性が修正されました。gpibのIO ioctlハンドラに存在したuse-after-freeの問題です。IBRD、IBWRT、IBCMD、およびIBWAIT ioctlハンドラは、board-big_gpib_mutexが解放された後にgpib_descriptorポインタを使用していました。この間に、IBCLOSEDEV ioctlがclose_dev_ioctl()を通じてディスクリプタを解放する可能性があり、use-after-freeが発生していました。IOハンドラ（read_ioctl、write_ioctl、command_ioctl）は、ハンドラを呼び出す前に明示的にbig_gpib_mutexを解放します。wait_ioctl()はbig_gpib_mutexを保持したまま呼び出されますが、ibwait()はwait_maskが0以外の場合に内部でmutexを解放します。これら四つのケースすべてで、handle_to_descriptor()から得たディスクリプタポインタは保護されていませんでした。これを修正するために、struct gpib_descriptorにカーネル専用のdescriptor_busy参照カウントを導入しました。各ハンドラはfile_priv-descriptors_mutexの下でatomicにdescriptor_busyをインクリメントし、ロックを解放した後に処理を行い、処理完了後にそれをデクリメントします。close_dev_ioctl()は同じロック下でdescriptor_busyをチェックし、参照カウントが0でない場合は-EBUSYでクローズを拒否します。複数のハンドラが同じディスクリプタに同時に操作する可能性があるため（例：異なるスレッドからの同一ハンドルに対するIBRDとIBWAIT）、単純なフラグではなく参照カウントが必要です。io_in_progressはIBWAIT ioctl（set_maskにCMPLを含むgeneral_ibstatus()経由）で特権のないユーザースペースからクリア可能であるため、これに基づくチェックだけでは回避される可能性があります。新しいdescriptor_busyカウンタはカーネルIOパスのみで操作されます。ロックの順序は一貫しており（big_gpib_mutex - descriptors_mutex）、ハンドラは検索時のみ短時間descriptors_mutexを保持するため、デッドロックのリスクはなく、IOスループットに影響を与えません。

Linuxカーネルのatm fore200eデバイスには、デバイス削除時に未処理のタスクリットが解放済みのメモリにアクセスしてしまうuse-after-freeの脆弱性があります。この脆弱性は、fore200eドライバがPCA-200EまたはSBA-200Eアダプターの切断時にfore200eオブジェクトを解放する一方で、送受信のタスクリット（tx_taskletやrx_tasklet）がまだ実行中またはスケジュールされている場合に発生します。結果として、これらのタスクリット関数が解放されたメモリにアクセスし、競合状態を引き起こします。この問題はfore200e_shutdown関数にtasklet_killを追加して、すべてのタスクリットが終了していることを保証することで修正されました。また、tasklet_killの呼び出しは、fore200e_reset実行後のFORE200E_STATE_IRQ状態のブランチ内で行われる必要があり、タスクリットの再スケジュールを防止します。この修正により、未解放メモリアクセスに起因するuse-after-freeバグが解消されました。

Linuxカーネルにおいて、以下の脆弱性が解決されました。usb: usbtmcモジュールのusbtmc_release関数でアンカーされたURBをフラッシュします。usbtmc_releaseを呼び出す際に、保留中のアンカーされたURBはuse-after-freeエラー（例えばHCDのgivebackパスでのエラー）を防止するためにフラッシュまたは破棄しなければなりません。アンカーされたURBを完了させるために、usbtmc_draw_down()関数を呼び出します。

Linuxカーネルにおいて、以下の脆弱性が修正されました。Bluetoothのhci_eventにあるhci_le_remote_conn_param_req_evtにおける潜在的なUse-After-Free（UAF）が修正されました。hci_le_remote_conn_param_req_evt内でのhci_connの参照とフィールドアクセスは、hdevロックで保護される必要があります。保護されていなければ、同時に解放される可能性があります。hci_dev_lockのクリティカルセクションを拡張し、すべてのconnの使用をカバーするように対応しました。

Linuxカーネルにおいて、以下の脆弱性が修正されました：Bluetoothのhci_connに関するset_cig_params_sync関数内での潜在的なUse-After-Free（UAF）問題を修正しました。set_cig_params_sync内でhci_connの参照およびフィールドアクセスは、必ずhdevロックで保護する必要があります。そうしなければ、同時に解放される可能性があります。hdevロックを取得することで、hci_connが同時に削除または変更されるのを防止します。RCUロックだけでは不十分であり、設定の破綻（tearing）も防止しなければなりません。

Linuxカーネルにおいて、以下の脆弱性が修正されました。netfilterのnf_conntrack_helperでは、期待値のクリーンアップにヘルパーを渡す処理に問題がありました。nf_conntrack_helper_unregister()は、登録解除されるヘルパーに属する期待値を削除するためにnf_ct_expect_iterate_destroy()を呼び出します。しかし、data引数としてヘルパーポインタの代わりにNULLを渡すため、expect_iter_me()はどの期待値とも一致せず、すべての期待値がクリーンアップされずに残ります。登録解除が完了すると、nfnl_cthelper_del()はヘルパーオブジェクトを直ちに解放します。その後の期待値ダンプやパケット駆動のinit_conntrack()呼び出しが解放済みのexp-helperを参照し、use-after-freeが発生します。期待値が正しく破棄されるよう、実際のヘルパーポインタを渡してからヘルパーオブジェクトを解放するように修正しました。バグ詳細として、BUG: KASAN: slab-use-after-freeがstring+0x38f/0x430で検出されました。アドレスffff888003b14d20のサイズ1の読み取り処理はタスクpoc/103によって行われました。コールトレースはstring+0x38f/0x430、vsnprintf+0x3cc/0x1170、seq_printf+0x17a/0x240、exp_seq_show+0x2e5/0x560、seq_read_iter+0x419/0x1280、proc_reg_read+0x1ac/0x270、vfs_read+0x179/0x930、ksys_read+0xef/0x1c0の順です。解放したタスク103は、問題のアドレスが解放された192バイト領域[ffff888003b14d00, ffff888003b14dc0)の内側32バイトに位置していることを示しています。

Linuxカーネルにおいて、以下の脆弱性が修正されました。HID: roccatのroccat_report_event内のuse-after-freeの問題を修正しました。roccat_report_event()はreaders_lockを保持せずにdevice-readersリストをイテレートしていました。このため、同時にroccat_release()がリーダーを削除および解放する可能性があり、アクセス中にuse-after-freeが発生していました。readers_lockミューテックスでreadersリストの走査を保護するようにしました。

DOMのUse-after-freeに関する脆弱性がネットワーキングコンポーネントで発生しました。この脆弱性はFirefox 150.0.2、Firefox ESR 140.10.2、Firefox ESR 115.35.2、Thunderbird 150.0.2、およびThunderbird 140.10.2で修正されています。

リモートデスクトップクライアントのUse after freeの脆弱性により、不正な攻撃者がネットワーク経由でコードを実行する可能性があります。

Linuxカーネルにおいて、以下の脆弱性が修正されました。ext4に関しては、umountと競合する際のupdate_super_work内のuse-after-freeを修正しました。コミット b98535d09179（"ext4: fix bug_on in start_this_handle during umount filesystem"）では、アンマウント中に/proc/fs/ext4/xx/mb_groupsの読み取りで新しいエラー作業がキューに追加されるのを防ぐために、ext4_unregister_sysfs()をs_sb_upd_workのフラッシュより前に移動しました。しかし、これによりupdate_super_workがext4_notify_error_sysfs() - sysfs_notify()を呼び出し、kobject_del()によって解放された後のkobjectのkernfs_nodeにアクセスしてしまうuse-after-freeが発生しました。本修正では、解体順序を変更する代わりに、ext4_notify_error_sysfs()がs_kobj.state_in_sysfsをチェックしてsysfsが既に解体済みであることを検出し、その場合はsysfs_notify()の呼び出しをスキップするようにしました。専用のmutex(s_error_notify_mutex)がext4_notify_error_sysfs()とext4_unregister_sysfs()内のkobject_del()間のTOCTOU競合を防止しています。

Linuxカーネルのvirtio_netドライバにおいて、IFF_XMIT_DST_RELEASEフラグが解除され、napi_txがfalseのときにdst_ops構造体へのUse-After-Free脆弱性が存在していました。この問題は、ネットワーク名前空間の削除時にskb-dstの参照が不適切に解放されるため、解放済みのdst_opsを使用してカーネルで不正なメモリアクセスが発生することが原因です。この脆弱性は、start_xmit関数内でskb_dst_drop(skb)を追加してskbのdst参照を事前に解放することで修正されました。対象のLinuxカーネルバージョンにおいて、virtio_netデバイスがnapi_txを無効にし、かつIFF_XMIT_DST_RELEASEが解除されている環境で発生します。

Linuxカーネルにおいて、以下の脆弱性が修正されました：thermal: coreにおけるサーマルゾーンの削除競合状態とレジュームの競合の問題を解決しました。thermal_zone_pm_complete()およびthermal_zone_device_resume()は、該当するサーマルゾーンのpoll_queue遅延作業を再初期化します。しかし、thermal_zone_device_unregister()内のcancel_delayed_work_sync()は既に実行中の作業アイテムを見逃す可能性があり、結果としてサーマルゾーンが早期に解放されることがあります[1]。失敗シナリオは2つあり、どちらもthermal_pm_notify_complete()が実行された直後にサーマルゾーンの1つに対してthermal_zone_device_unregister()が呼び出されることから始まります。最初のシナリオでは、thermal_pm_notify_complete()が該当するサーマルゾーンに対してthermal_zone_pm_complete()を呼び出した時点ですでに作業アイテムが実行中であり、その作業はthermal_zone_device_unregister()の開始時も継続しています。thermal_pm_notify_complete()によってpoll_queue遅延作業が再初期化されているため、thermal_zone_device_unregister()のcancel_delayed_work_sync()は実行中の作業アイテムを見逃し、その作業がサーマルゾーンオブジェクトの解放後も継続するためUse-After-Freeの問題が発生します。2つ目のシナリオでは、thermal_pm_notify_complete()によってキューに入れられたthermal_zone_device_resume()が、thermal_zone_device_unregister()によって呼び出されたthermal_zone_exit()が終了した直後に実行されます。poll_queue遅延作業はthermal_zone_device_resume()によって再初期化され、その後thermal_zone_device_unregister()がcancel_delayed_work_sync()を呼び出しますが、そのタイミングで遅延作業は継続して実行され、サーマルゾーンオブジェクトの解放後の動作となり、これもUse-After-Freeにつながります。最初の失敗シナリオでは、thermal_pm_notify_complete()が呼ばれる際にサーマル作業アイテムが実行中でないことを保証する対応を行いました。まずthermal_zone_pm_complete()からcancel_delayed_work()の呼び出しをthermal_zone_pm_prepare()へ移動し、その後新規作業が作業キューに追加されないようにしました。次にサーマルイベント専用の作業キューを使用するよう切り替え、thermal_pm_notify()内のコードもthermal_pm_notify_prepare()の戻り後にその専用作業キューをフラッシュする処理に更新し、残っているサーマル作業の処理を完了させました（残作業はすべてのサーマルゾーンがサスペンド状態であるため、意味のある処理は行いません）。2つ目の失敗シナリオでは、thermal_zone_device_resume()にtz-stateチェックを追加し、サーマルゾーンが消去される場合にpoll_queue遅延作業の再初期化を防止する対策を実施しました。なお、これらの変更はサーマルゾーンのサスペンド・レジューム処理をデバイスのサスペンド・レジューム処理により近い位置に移動することも促進します。

Linuxカーネルにおいて、以下の脆弱性が修正されました：net: macb: PCIグルードライバの削除時におけるclk処理の問題対応。platform_device_unregister()は、ランタイム再開コールバック中に登録されたクロックをまだ使用する可能性があります。同様のclkとプラットフォームデバイスの登録解除に関する問題は、コミットd82d5303c4c5（"net: macb: fix use after free on rmmod"）ですでに対処されていましたが、その修正によりバグが別の場所に移動してしまいました。プラットフォームデバイスが登録解除された後も再利用できるように、CLKのポインタをローカル変数に保存する仕様に変更しました。バグの内容は、clk_prepare関数内でのuse-after-freeであり、modprobeタスクによるアドレスffff888104f85e00のサイズ8の読み取りによって発生しました。エラーはKASANによって検出され、CPU2のプロセスID597のmodprobeで発生しています。コールトレースは、スタックのダンプ、報告、clk_prepareの呼び出しから始まり、macbのランタイム再開、バスデバイスの削除、プラットフォームデバイスの登録解除、PCIデバイスの削除、ドライバの解除登録に至る一連の操作を示しています。割り当ておよび解放は、それぞれタスク519と597により行われており、KASANの追跡および解放関数を通じてclk構造体のメモリ管理が適切に行われています。

Linuxカーネルにおいて、以下の脆弱性が修正されました。bpf: sockmapのsk_psock_verdict_data_ready()内のsk-sk_socketに関するuse-after-freeの問題が修正されました。syzkallerのsyzbotにより、sk_psock_verdict_data_ready()でAF_UNIXソケットのsk-sk_socketに対するuse-after-freeが報告されました[0]。unix_stream_sendmsg()では、ピアソケットの-sk_data_ready()がunix_state_lock()を解放した後に呼び出されます。送信側のソケットはピアの参照カウントを保持しているものの、ピアのsock_orphan()を防ぐことはできず、ピアのsk_socketは一つのRCU猶予期間後に解放される可能性があります。sk_psock_verdict_data_ready()内では、RCU下にてピアのsk-sk_socketとsk-sk_socket-opsを取得するように変更しました。[0]:BUG: KASAN: slab-use-after-freeがsk_psock_verdict_data_ready+0xec/0x590 net/core/skmsg.c:1278で発生しました。アドレスffff8880594da860の8バイト読み取りはsyz.4.1842/11013タスクによるものであり、CPU: 1、UID: 0、PID: 11013、Comm: syz.4.1842でした。その他、詳細なコールトレースや割り当て・解放情報が示されています。この脆弱性はAF_UNIXソケットの不適切なメモリ管理に起因し、競合状態によるuse-after-freeを防止するための修正が行われました。

Linuxカーネルにおいて、HID: logitech-hidppドライバーのフォースフィードバック初期化が失敗した際に発生するUse-After-Freeの脆弱性が修正されました。この問題はXbox One用Logitech G920 Driving Force Racing Wheelのプロービング時に、フォースフィードバックの初期化が失敗してエラーが返されると、ユーザー空間がこれらのエラーを無視し、ダングリング状態の参照を使い続けることで発生します。修正では、警告を出力し、フォースフィードバック機能を除いてデバイスを動作させ続ける方法が採用されました。

Linuxカーネルのatm: lecモジュールにおいて、sock_def_readable()関数でuse-after-freeの脆弱性が修正されました。この問題は、lec_atm_close()関数がpriv-lecdをNULLに設定し、送信処理の間に別スレッドが該当ポインタへ同時アクセスする競合状態により発生しました。結果として、RCUによるソケット解放後にsock_def_readable()内で解放済みメモリにアクセスされる危険がありました。本修正では、priv-lecdをRCU保護ポインタに変更し、rcu_assign_pointer()やrcu_access_pointer()で安全なアクセスを保証しています。また、lec_atm_close()でsynchronize_rcu()を呼ぶことで全ての読みに対する同期を行っています。この変更によりuse-after-free状態を回避し、競合状態の根本的な問題を解決しました。なお、従来のspinlock方式による同期は不十分であったため、このRCU方式への切り替えにより安定性が向上しました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。net: manaのadd_adev()関数のエラーパスにおけるuse-after-freeの問題です。auxiliary_device_add()が失敗した場合、add_adev()はadd_failにジャンプし、auxiliary_device_uninit(adev)を呼び出します。補助デバイスは解放コールバックとしてadev_release()が設定されており、これは包含するstruct mana_adevを解放します。adevはstruct mana_adevに埋め込まれているため、その後init_failにフォールスルーし、adev-idにアクセスするとuse-after-freeの問題が発生する可能性がありました。この問題はauxiliary_device_add()を呼び出す前に補助デバイスIDをローカル変数に保存し、auxiliary_device_uninit()の後のクリーンアップパスでその保存されたIDを使用することで修正されました。

148.0.7778.96 より前の Google Chrome の WebRTC における Use after free の脆弱性により、リモートの攻撃者が細工された HTML ページを介してサンドボックス内で任意のコードを実行する可能性がありました。Chromium のセキュリティ重要度は低と評価されています。

Google ChromeのiOS版148.0.7778.96より前のバージョンのMobileにおけるUse after freeの脆弱性により、リモートの攻撃者がユーザーに特定のUIジェスチャーを実行させることで、細工されたHTMLページを介して任意のコードを実行できる可能性があります。この脆弱性はChromiumセキュリティの深刻度で重大と評価されています。

Linux版Google Chromeの148.0.7778.96より前のバージョンのChromotingにおいて、Use after freeの脆弱性が存在しました。これにより、リモートの攻撃者が悪意のあるネットワークトラフィックを介して任意のコードを実行できる可能性がありました。

MacのGoogle Chrome 148.0.7778.96以前のANGLEにおけるUse after freeの脆弱性により、リモートの攻撃者が細工されたHTMLページを介してサンドボックス内で任意のコードを実行できる可能性がありました。

Google Chromeの148.0.7778.96以前のバージョンにおけるSVGのUse after freeの脆弱性により、リモートの攻撃者が細工されたHTMLページを介してサンドボックス内で任意のコードを実行する可能性があります。

Google Chromeのバージョン148.0.7778.96以前に存在したDOMのUse after freeの脆弱性により、リモートの攻撃者が細工されたHTMLページを介してサンドボックス内で任意のコードを実行できる可能性がありました。

Windows版Google Chrome148.0.7778.96以前のAuraにはUse after freeの脆弱性が存在し、リモートの攻撃者が細工されたHTMLページを介してレンダラープロセスを乗っ取り、サンドボックスからの脱出を行う可能性がありました。この脆弱性のChromiumにおけるセキュリティ重大度は高いと評価されています。

Windows上のGoogle Chromeバージョン148.0.7778.96以前のフルスクリーン機能におけるUse after freeの脆弱性により、リモートの攻撃者が細工されたHTMLページを介してレンダラプロセスを侵害し、サンドボックスを突破する攻撃を実行する可能性がありました。

Google Chromeの148.0.7778.96以前のバージョンにおいて、GPUのUse after freeの脆弱性により、リモートの攻撃者が細工されたHTMLページを介してレンダラープロセスを乗っ取り、サンドボックスから脱出する可能性がありました。

Google Chromeの148.0.7778.96以前のAuraにおけるUse after freeの脆弱性により、リモートの攻撃者が細工されたHTMLページを介してレンダラープロセスを侵害し、サンドボックスを脱出する可能性がありました。

Google Chrome 148.0.7778.96 未満のバージョンにおいて、Skia の Use after free によりレンダラープロセスが侵害される問題がありました。これにより、リモートの攻撃者が細工された HTML ページを介してサンドボックスから脱出する可能性がありました。

148.0.7778.96より前のGoogle Chromeのパスワード機能におけるUse after freeの脆弱性により、リモートの攻撃者が細工されたHTMLページを介して任意のコードを実行できる可能性がありました。

Google Chrome 148.0.7778.96より前のバージョンのServiceWorkerにおけるUse after freeの脆弱性により、リモートの攻撃者が細工されたHTMLページを介してサンドボックスをエスケープできる可能性がありました。

Google ChromeのWindows版148.0.7778.96以前のバージョンにあるChromotingのUse after freeの脆弱性により、ローカル攻撃者が悪意のあるファイルを介してOSレベルで特権昇格を実行できる可能性がありました。

Google Chrome 148.0.7778.96 より前のバージョンの PresentationAPI に存在する Use after free の脆弱性により、リモートの攻撃者は細工された HTML ページを介してサンドボックス内で任意のコードを実行する可能性がありました。