脆弱性情報（JVN）検索・一覧

Thunderbird ESR 140.10.0およびThunderbird 150.0.0にはメモリ安全性のバグが存在します。これらのバグの一部はメモリ破損の証拠を示しており、十分な努力を払えば任意のコードを実行するために悪用される可能性があると推定されています。この脆弱性はFirefox 150.0.1、Firefox ESR 140.10.1、Firefox ESR 115.35.1、Thunderbird 150.0.1、およびThunderbird 140.10.1で修正されました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。xfsのアンマウント中にAILをプッシュする前にリクレームを停止しない問題です。xfs_unmount_flush_inodes()のアンマウントシーケンスでは、バックグラウンドのリクレームおよびinodegcがまだ動作している間にAILをプッシュしていました。これはuse-after-freeの問題とは無関係に破損を引き起こします。アンマウント中にAILをプッシュする際は、inodegcがインデックスノードを汚染しAILに挿入する可能性があるため、inodegcやバックグラウンドのリクレームは動作してはなりません。そこで、xfs_unmount_flush_inodes()の処理順序を変更し、AILをプッシュする前にinodegcを停止しバックグラウンドリクレームをキャンセルするようにしました。また、inodegcワーカーがxfs_inodegc_set_reclaimableを介してm_reclaim_workを再キューイングできるため、m_reclaim_workをキャンセルする前にinodegcを停止するようにしました。

Microsoft Office WordのUse after freeの脆弱性により、認可されていない攻撃者がローカルでコードを実行する可能性があります。

Microsoft Office ExcelにおけるUse after freeの脆弱性により、不正な攻撃者がローカルでコードを実行できる可能性があります。これは脆弱性を悪用してシステムに深刻な影響を与える恐れがあります。

Microsoft OfficeのUse after freeの脆弱性により、未承認の攻撃者がローカルでコードを実行できる可能性があります。

Microsoft Office WordにおけるUse after freeの脆弱性により、不正な攻撃者がローカル環境でコードを実行できる可能性があります。

Microsoft Office Word の Use after free 脆弱性により、不正な攻撃者がローカルでコードを実行できる可能性があります。

ドキュメントの構造に異常があり、ページ要素の関係と内部インデックスの状態に不整合が生じました。スクリプトがドキュメントの変更を引き起こした際に、オブジェクト参照の有効性が適切に維持されず、ページ情報を照会すると無効なポインタにアクセスしてクラッシュが発生しました。

Google Chrome 147.0.7727.138以前のWebRTCにおけるUse after freeの脆弱性により、リモートの攻撃者が細工されたHTMLページを介してサンドボックス内で任意のコードを実行できる可能性がありました。

147.0.7727.138以前のAndroid版Google ChromeのWebViewにUse after freeの脆弱性が存在し、リモートの攻撃者が細工されたHTMLページを介してサンドボックス内で任意のコードを実行できました。

Windows上のGoogle Chromeのバージョン147.0.7727.138より前には、ViewsのUse after freeの脆弱性が存在していました。この脆弱性により、リモートの攻撃者が細工されたHTMLページを通じてレンダラープロセスを侵害し、サンドボックスを脱出する可能性がありました。

Windows版Google Chromeのバージョン147.0.7727.138以前において、アクセシビリティのUse after freeの脆弱性が存在しました。この脆弱性により、リモートの攻撃者が細工されたHTMLページを介してレンダラープロセスを乗っ取り、サンドボックスから脱出する可能性がありました。

Google Chrome 147.0.7727.138より前のバージョンのCastにおけるUse after freeの脆弱性により、ローカルネットワークセグメント上の攻撃者が悪意のあるネットワークトラフィックを介してサンドボックス内で任意のコードを実行できる可能性がありました。（Chromiumセキュリティ重大度：高）この脆弱性は適切に対処されました。

Google Chrome 147.0.7727.138より前のバージョンのWebMIDIにおけるUse after freeの脆弱性により、リモート攻撃者が細工されたHTMLページを介してレンダラープロセスを乗っ取り、サンドボックスをエスケープする可能性がありました。

Android版Google Chromeのバージョン147.0.7727.138以前に存在するMediaのUse after freeの脆弱性により、リモートの攻撃者が細工されたHTMLページを介してレンダラープロセスを侵害し、サンドボックスを脱出する可能性がありました。

Google Chromeのバージョン147.0.7727.138以前のMediaコンポーネントにおけるUse after freeの脆弱性により、リモートの攻撃者が細工されたHTMLページを介してサンドボックス内で任意のコードを実行できる可能性がありました。Chromiumのセキュリティ重要度は中程度と評価されています。

Google Chromeのバージョン147.0.7727.138以前におけるNavigationのUse After Freeにより、リモートの攻撃者が細工されたHTMLページを介して任意のコードを実行できる脆弱性が存在しました。

Google Chromeのバージョン147.0.7727.138未満のGPUにおけるUse after freeの脆弱性により、リモート攻撃者が細工されたHTMLページを通じてヒープ破損を潜在的に悪用し、レンダラープロセスを侵害する可能性がありました。

Google Chrome 147.0.7727.138より前のバージョンのAnimationにおけるUse after freeの脆弱性により、リモートの攻撃者が細工されたHTMLページを介してサンドボックス内で任意のコードを実行できる可能性があります。（Chromiumセキュリティの重大度は高いです）。

Google Chromeの147.0.7727.138以前のバージョンのANGLEにおけるUse after freeの脆弱性により、リモート攻撃者が細工されたHTMLページを介してレンダラープロセスを侵害し、サンドボックスを脱出する可能性がありました。

iOS版Google Chromeの147.0.7727.138以前のバージョンにはUse after freeの脆弱性が存在し、リモート攻撃者が細工されたHTMLページを介してヒープ破損を引き起こす可能性がありました。

LinuxおよびChromeOS上のGoogle Chrome（バージョン147.0.7727.138以前）におけるCanvasのUse after freeの脆弱性により、リモートの攻撃者が細工されたHTMLページを介してサンドボックス内で任意のコードを実行できる可能性がありました。

Linuxカーネルのhackrfドライバーにおいて、media: hackrf: hackrf_probe()内でデバイス登録後にメモリを解放しないように修正しなければならない脆弱性があります。hackrf_probe()で割り当てたメモリを登録後に直接解放すると、既に開かれているファイルディスクリプタによる操作時に使用後解放(UAF)や二重解放(DFB)の競合状態が発生します。この競合状態により、不正なメモリアクセスが可能となり、システムの安定性やセキュリティが損なわれる恐れがあります。したがって、デバイスの登録後にリソースを解放する際は、release()関数を経由して適切に処理しなければなりません。

Linuxカーネルにおいて、以下の脆弱性が修正されました。media: as102: as102_usb_probe()内でデバイス登録後にメモリを解放しないように修正されました。as102_usbドライバでは以下の競合状態が発生します。CPU0ではas102_usb_probe()内でkzalloc()によりas102_dev_tを割り当て、usb_register_dev()を呼び出します。一方、CPU1ではsys_open("/path/to/dev")でas102のファイルディスクリプタを開き、その後usb_deregister_dev()とkfree()でas102_dev_tを解放します。sys_close(fd)呼び出し時にはas102_release() → as102_usb_release() → kfree()が発生し、use-after-freeおよびdouble-freeの脆弱性が生じます。usb_register_dev()で登録されたUSBキャラクタデバイスがusb_deregister_dev()や切断によって登録解除されると、デバイスノードは削除されて新しいopen()は失敗しますが、既に開いているファイルディスクリプタは最後の参照が外れるまで有効です。また、ドライバの.release()が呼ばれるまで保持されます。as102_usb_probe()はエラーパスでusb_deregister_dev()後に即座にas102_dev_tを解放してしまうため、ユーザ空間での競合により解放済みメモリへのアクセスが発生し、脆弱性が生まれます。この問題の修正はusb_register_dev()成功後に直接kfree(as102_dev_t)をしないことであり、登録解除後のメモリ解放は.release()に遅延させます。つまり、最後のopenファイルディスクリプタが閉じられた時点で.release()が最終的にkfreeを行うようにしています。

Linuxカーネルに存在した脆弱性で、bcacheのcached_dev.sb_bioに関するuse-after-freeおよびクラッシュの問題が修正されました。この脆弱性は、デバイスがスーパーブロックの書き込み中に停止した場合に解放済みのアドレスにアクセスが発生することで生じます。この問題の原因は、cached_devの解放時にsb_writeの完了を待機しなかったことです。修正パッチは、この待機を追加することで問題を解決しています。

Linuxカーネルにおいて、以下の脆弱性が修正されました。ALSAの6fireドライバにおける切断時のuse-after-freeの問題です。usb6fire_chip_abort()内で、chip構造体はsnd_card_newにより割り当てられたカードのプライベートデータ（struct sfire_chipのサイズ）として管理されています。snd_card_free_when_closed()が呼ばれ、開かれているファイルハンドルがなくなると、カードとその内部のchipは同期的に解放されます。しかし、その後chip-card = NULLへの書き込みが解放済みのスラブメモリに対して行われてしまいます。コールトレースは以下の通りです。usb6fire_chip_abortはsound/usb/6fire/chip.cの59行目（インライン）、usb6fire_chip_disconnectは182行目、usb_unbind_interfaceはdrivers/usb/core/driver.cの458行目などにあります。修正内容は、カードのライフサイクル管理をusb6fire_chip_abort()からusb6fire_chip_disconnect()に移動することです。カードポインタをローカルに保存し、tear down前にsnd_card_disconnect()を最初に呼び出して新規のオープンを防止します。URBはchipが有効な間に中断され、最後にsnd_card_free_when_closed()を呼び出すことで、カード解放後にchipへのアクセスが発生しないようにしました。

Linuxカーネルのhwmonサブシステムに含まれるpowerzドライバにて、USBデバイス切断時にUse-After-Freeの脆弱性が存在していました。具体的には、powerz_disconnect()関数がURBを解放し、関連するミューテックスを解放した後に、powerz_read()関数が解放されたURBにアクセスを試みることで不正なメモリアクセスが発生する問題です。本脆弱性は、powerz_disconnect()関数でpriv-urbをNULLに設定し、powerz_read_data()関数で切断状態を適切に検出して処理を中断させることで修正されました。また、usb_set_intfdata()の呼び出し位置を移動させ、切断ハンドラが常にprivポインタを取得できるよう改善されました。

Linuxカーネルのmedia: em28xxサブシステムにおいて、em28xx_v4l2_open()関数がdev-lockを保持せずにdev-v4l2を読み取るため、use-after-freeの脆弱性が発生しました。この関数はem28xx_v4l2_init()のエラーパスとem28xx_v4l2_fini()との間で競合状態を引き起こし、解放済みの構造体にアクセスしてしまう可能性があります。具体的には、動画デバイス構造体の解放後にそのコントローラハンドラへアクセスしたり、NULLポインタ参照を引き起こしたりすることが報告されました。修正として、dev-v4l2の読み取り前にmutex_lock()でロックを取得し、NULLチェックを追加することで問題を解決しました。

Linuxカーネルにおいて、media: mediatek: vcodec コンポーネントのエンコーダの解放パスに存在する use-after-free 脆弱性が修正されました。fops_vcodec_release() 関数は、ctx-encode_work 内の保留中または実行中の作業をキャンセルする前にコンテキスト構造体(ctx)を解放しており、これにより作業キューのハンドラ(mtk_venc_worker)が解放済みのコンテキストメモリにアクセスするレースコンディションが発生していました。本脆弱性は、v4l2_m2m_ctx_release() が m2m ジョブのライフサイクルのみを待機し、作業キューのライフサイクルを考慮していなかったことに起因します。その結果、ジョブ完了後もワーカー関数が解放済みの ctx にアクセスする可能性がありました。修正として、kfree(ctx) の前に cancel_work_sync(&ctx-encode_work) を呼び出し、作業キューのハンドラをキャンセルし、かつ同期処理により安全に停止させてからコンテキストを解放します。これにより use-after-free を防止します。

Linuxカーネルにおいて、以下の脆弱性が修正されました。net: lan966x: lan966x_fdma_reload() における use-after-free とリークの問題を修正しました。lan966x_fdma_reload() が新しいRXバッファの割り当てに失敗した場合、復元パスはすでに lan966x_fdma_rx_free_pages() により解放されたページを持つ古いディスクリプタを使ってDMAを再開します。page_pool_put_full_page() はページをバディアロケータに返却する可能性があるため、ハードウェアが現在他のカーネルサブシステムに所有されているメモリにDMAを行うことがあります。さらに、復元パスでは、新しく作成されたページプール（割り当てが部分的に成功した場合）が破棄されずに上書きされるため、リークが発生します。古いページの解放を新しい割り当ての成功後まで延期することで、両方の問題を修正しました。割り当て前に古いページ配列を保存し、成功パスで古いページを解放できるようにしています。失敗パスでは、古いディスクリプタ、ページ、およびページプールがすべて有効なままであるため、復元が安全に行えます。また、復元パスでNAPIを再有効化し、成功パスと同様にnetdevを起動させることも保証しています。

Linuxカーネルにおいて、以下の脆弱性が修正されました。mmc: vub300における切断時のuse-after-freeの問題を修正しました。vub300ドライバーはコントローラおよびそのドライバーデータに対して明示的な参照カウントを保持しており、最後の参照は理論的にドライバーがバインド解除された後にドロップされる可能性があります。これは特に、コントローラの割り当てがデバイス管理されてはならないことを意味しており、その結果use-after-freeが発生する可能性がありました。現在、ライフタイムは親USBデバイスではなくインターフェースに誤って結び付けられており、ドライバーが物理的にデバイスから切断されずにバインド解除された場合（例：プローブの延期時）にメモリリークが発生することがあります。これらの両方の問題を、コントローラの非管理割り当てに戻すことで修正しました。

Linuxカーネルにおいて、mm/damon/statのdamon_call()が失敗した際にdamon_ctxが解放されずにリークする脆弱性が修正されました。damon_stat_start()は常にdamon_ctxオブジェクトを確保しますが、damon_call()が失敗するとdamon_ctxが解放されず、結果としてメモリリークが発生します。この問題は、damon_call()の失敗がkdamondの完全な終了を保証しないため、単純に解放するとuse-after-freeのリスクが生じるため、特別な処理が必要でした。修正では、damon_call()失敗後にdamon_ctxを即時解放せず、kdamondが完全に終了したことを確認してから解放する仕組みを導入し、メモリリークとuse-after-freeの両方を防いでいます。発見者はsashiko氏です。

Linuxカーネルにおいて、以下の脆弱性が修正されました：netfilterのnft_ctにおけるtimeoutオブジェクト破棄時のUse-After-Freeの問題を修正しました。nft_ct_timeout_obj_destroy()関数はnf_ct_untimeout()直後にkfree()でtimeoutオブジェクトを解放していましたが、RCUのグレース期間を待たずに解放を行っていました。そのため、他のCPUにおける並行パケット処理がnf_ct_timeout_data()内でrcu_dereference()経由で取得されたtimeoutオブジェクトへのRCU保護された参照を保持している可能性がありました。これを受けて、struct nf_ct_timeoutにrcu_headを追加し、kfree_rcu()を用いてRCUグレース期間後に解放を遅延させる方法を採用しました。この対応はnfnetlink_cttimeout.cで既に用いられている手法と一致しています。KASANのレポートによると、nf_conntrack_tcp_packet関数内でサイズ4の読み取りに関するslab-use-after-freeエラーが発生しました。このエラーはアドレスffff8881035fe19cにてタスクexploit/80によって検出され、コールトレースにはnf_conntrack_tcp_packet、nf_conntrack_in、nf_hook_slow、__ip_local_out、tcp_sendmsg_locked、__sys_sendtoが含まれていました。割り当てはタスク75によってnft_ct_timeout_obj_init、nft_obj_init、nf_tables_newobj、nfnetlink_rcv_batch関数群内で実施され、解放はタスク26によってnft_obj_destroy、nf_tables_trans_destroy_work、process_one_workが関与して行われました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。spi: spi-fsl-lpspiのteardown順序に問題があり、Use After Freeが発生していました。ドライバ内でteardown順序が適切に管理されていませんでした。SPIコントローラはdevm_spi_register_controller()を使用して登録されており、fsl_lpspi_remove()関数が返るまでSPIコントローラの登録解除が遅延していました。fsl_lpspi_remove()関数はDMAチャネルを同期的に停止するため、実行中のSPI転送がUse After FreeによりNULLポインタ参照を引き起こしていました。具体的には以下のエラーが発生しました。| fsl_lpspi 42550000.spi: DMA RXでのI/Oエラー| カーネルがNULLポインタ参照を仮想アドレス0000000000000000で処理できません| [...]| コールトレース:| fsl_lpspi_dma_transfer+0x260/0x340 [spi_fsl_lpspi]| fsl_lpspi_transfer_one+0x198/0x448 [spi_fsl_lpspi]| spi_transfer_one_message+0x49c/0x7c8| __spi_pump_transfer_message+0x120/0x420| __spi_sync+0x2c4/0x520| spi_sync+0x34/0x60| spidev_message+0x20c/0x378 [spidev]| spidev_ioctl+0x398/0x750 [spidev]| [...]. 修正として、fsl_lpspi_probe()内でdevm_spi_register_controller()からspi_register_controller()への切り替えを行い、対応するspi_unregister_controller()をfsl_lpspi_remove()に追加しました。

Linuxカーネルにおけるdrm/amd/displayの脆弱性は、DSC検証時に無関係なモード変更をスキップしない点にあります。コミット17ce8a6907f7以降、amdgpuは特定のストリームのタイミングに変更がない場合にCRTC状態のmode_changedフラグをfalseにリセットしますが、MST/DSC構成の変更が無関係なモード変更と同じKMSコミットで発生すると、この処理は正しく機能しません。例えば、内蔵パネルのDSC構成が外部画面接続の有無により変わらない場合、mode_changedフラグが誤って無視されますが、この状態でdm_update_crtc_state()は新しいストリームを作成し、amdgpu_dm_commit_streams()は古いストリームを解放せずメモリリークが発生します。さらにamdgpu_dm_atomic_commit_tail()では新しいストリーム参照を取得しないため、後にuse-after-freeが生じます。具体的にはKASANのuse-after-freeエラーが発生します。この問題を解決するために、DSC検証時にCRTCの無関係なモード変更が保留中かどうかを判断できないため、前のmode_changedフラグの値を記憶し、pre_validate_dsc()内でその値にリセットする修正を加えました。