脆弱性情報（JVN）検索・一覧

メモリ管理の改善により、use-after-freeの問題が修正されました。この問題はSafari 26.5.2、iOS 26.5.2及びiPadOS 26.5.2、macOS Tahoe 26.5.2で修正されています。悪意のある細工が施されたウェブコンテンツを処理すると、予期しないプロセスクラッシュが発生する可能性があります。

使用後解放の問題は、改善されたメモリ管理により対処されました。この問題はSafari 26.5.2、iOS 26.5.2、iPadOS 26.5.2、macOS Tahoe 26.5.2で修正されています。悪意のある細工が施されたウェブコンテンツを処理すると、Safariが予期せずクラッシュする可能性があります。

Envoyはクラウドネイティブアプリケーション向けに設計されたオープンソースのエッジおよびサービスプロキシです。バージョン1.36.0から1.36.9、1.37.5、および1.38.3までの間、Envoyのext_authz HTTPフィルターにおいて、ルートごとの認可オーバーライドを処理中にダウンストリームのクライアントが急速に切断される状況で、Use-After-Free（UAF）脆弱性が存在し、突発的なセグメンテーションフォルトを引き起こします。標準的なリクエストライフサイクルにおいて、Envoyは基盤となる認可クライアントオブジェクト(client_)を持つext_authzフィルターを生成します。マッチしたルートが動的なルートごとのHTTPまたはgRPC認可サービスのオーバーライドを指定する場合、フィルターはローカルクライアントを生成します。脆弱な実装では、この一時的なクライアントがclient_ = std::move(per_route_client)を実行することで、デフォルトのclient_ユニークポインタを積極的に上書きします。クライアントがストリームを迅速に確立し、その後すぐに切断する（保護されたWebSocketエンドポイントを急速にリフレッシュする等）場合、ダウンストリームはConnectionManagerImpl::doDeferredStreamDestroy() - ActiveStream::onResetStream()のライフサイクルを引き起こします。Envoyは即座にFilter::onDestroy()をシーケンスし、client_-cancel()を通じて非同期認可チェックトランザクションの安全な中断を試みます。しかし、initiateCall中にデフォルトクライアントが突然破棄されることで、非同期クライアントマネージャ内にメモリライフサイクルの不整合が発生します。ストリームの切断は動的にバインドされた非同期認可タスクの追跡およびキャンセルを確実に行えず、ネットワークからの遅延した非同期コールバックが大幅に破壊されたActiveStream検証範囲に対して評価され、UAFによるプロセスクラッシュを引き起こす一連の流れをもたらします。この脆弱性は1.36.9、1.37.5、および1.38.3で修正されています。

Envoyはクラウドネイティブアプリケーション向けに設計されたオープンソースのエッジおよびサービスプロキシです。バージョン1.37.0から1.37.5および1.38.3までのHTTP OAuth2フィルター（envoy.filters.http.oauth2）は、すでに破棄された下流ストリームに対してインフライトの非同期トークン交換を残してしまうことがあります。遅延したAsyncClientの完了はOAuth2Filterのメソッドを呼び出すことがあり、これらはStreamDecoderFilterCallbacksオブジェクトの寿命終了後に発生します。その結果、未定義動作、ワーカーのクラッシュ（可用性の損失）、およびAddressSanitizer下でのuse-after-freeや無効なvptr障害を引き起こします。これはデータプレーンにおけるメモリ安全性および寿命の問題であり、単なる設定ミスではありません。リモートコード実行は報告されておらず、主な影響はクラッシュおよび未定義動作によるDoSです。その他の影響はデプロイ環境およびアロケータに依存します。この脆弱性はバージョン1.37.5および1.38.3で修正されています。

Nokogiriは、Rubyプログラミング言語用のオープンソースのXMLおよびHTMLライブラリです。バージョン1.19.4より前のNokogiri::XML::Document#root=は、新しいルートがNokogiri::XML::Nodeであることのみを検証しており、DTDノードをドキュメントのルートとして設定できてしまっていました。その結果、ガベージコレクションやファイナライズ時にヒープの使用後解放が発生するため、不正なメモリ読み取りやセグメンテーションフォルトが起こる可能性がありました。この脆弱性はバージョン1.19.4で修正されました。

NokogiriはRubyプログラミング言語向けのオープンソースのXMLおよびHTMLライブラリです。バージョン1.19.4より前のNokogiri::XML::XPathContextは、そのソースドキュメントをガベージコレクションのために保持していませんでした。XPathContextがそのドキュメントよりも長く生存し、ドキュメントが回収された場合、XPath式の評価は無効なメモリを読み取り、潜在的にセグメンテーションフォルトを引き起こす可能性がありました。これはアプリケーションコードが直接XPathContextを構築し、ドキュメントが到達不能になるまでそのコンテキストを使い続けた場合にのみ発生します。通常のDocument#xpath、#css、および関連する検索メソッドには影響せず、不正なドキュメント入力によってトリガーされることもありません。この脆弱性はバージョン1.19.4で修正されています。

NokogiriはRubyプログラミング言語向けのオープンソースのXMLおよびHTMLライブラリです。バージョン1.19.4より前では、Nokogiri::XML::Node#do_xincludeによって実行されるXInclude置換が、各xi:includeをその場で置き換え、インクルードノードとその子要素（例えばxi:fallbackおよびその子孫）およびそれらに宣言された名前空間を解放していました。もしアプリケーションがすでにこれらのノードや名前空間のいずれかをRubyに露出させていた場合、対応するRubyオブジェクトは解放済みメモリを指したままになっていました。そのオブジェクトを使うと無効なメモリの読み書きが発生する可能性があります。この脆弱性はバージョン1.19.4で修正されました。

Google ChromeのAndroid版149.0.7827.201より前のバージョンにはPaymentsのUse after freeの脆弱性が存在し、ローカル攻撃者がデバイスへの物理的アクセスを通じてヒープ破損を悪用できる可能性がありました。

Envoyはクラウドネイティブアプリケーション向けに設計されたオープンソースのエッジおよびサービスプロキシです。バージョン1.34.0から1.35.13、1.36.9、1.37.5、1.38.3までの間において、ext_procサーバが複数の特別に細工されたProcessingResponseメッセージを含む単一のgRPCメッセージを送信するとEnvoyがクラッシュする問題が発生します。これは、バッチ内の最初のレスポンスがgRPCストリームオブジェクトの破棄を引き起こし、その結果Envoyが同じgRPCメッセージ内の後続のレスポンスを処理しようとした際にUse-After-Freeエラーが発生するためです。この脆弱性はバージョン1.35.13、1.36.9、1.37.5、および1.38.3で修正されています。

libexpat 2.8.2より前のバージョンでは、doCdataSection内でXML_TOK_DATA_CHARSが考慮されていませんでした。そのため、ポリシー違反時にハンドラ内からの様々な呼び出しに対するハンドラ呼び出しの深さの追跡が欠如していました。その結果、使用後解放（use-after-free）が発生する可能性があります。

GPAC MP4Box v2.4 の gf_node_get_tag 関数（scenegraph/base_scenegraph.c）におけるヒープ使用後解放（use-after-free）の脆弱性により、攻撃者が細工された MP4 ファイルを提供することでサービス拒否（DoS）を引き起こす可能性があります。

GPAC MP4Box v2.4のgf_node_get_tag関数（scenegraph/base_scenegraph.c）におけるヒープのUse-After-Freeにより、攻撃者が細工されたMP4ファイルを提供することでサービス拒否（DoS）を引き起こす可能性があります。

CONFIG_USERSPACEおよびCONFIG_XTENSA_MMUが有効なXtensaターゲットにおいて、ページテーブルコード(arch/xtensa/core/ptables.c)はcaller所有のstruct k_mem_domainに埋め込まれたリストノードを使用し、アクティブなメモリドメインのグローバルリストxtensa_domain_listを管理しています。k_mem_domain_deinit() - arch_mem_domain_deinit()によってドメインが破棄されるとページテーブルは解体され、domain-arch.ptablesはNULLに設定されますが、ドメインのノードはxtensa_domain_listから削除されませんでした。そのため、解放または初期化解除されたドメインはcaller所有のストレージへのダングリングポインタとしてグローバルリストに残り、その後解放または再利用される可能性があります。その後のarch_mem_map()/arch_mem_unmap()操作(カーネルのメモリマッピングや需要ページングコードで広く呼ばれる)は古いノードを辿りdomain.ptablesをデリファレンスします。最低でもNULLポインタ参照による致命的なMMU例外(サービス拒否)を引き起こし、k_mem_domainストレージが解放または再利用されている場合、use-after-freeとなり、古いまたは制御されたptables値がページテーブルウォーク中にデリファレンスされ書き込まれます(l2_page_table_mapはl1_table[...]およびl2_table[...]を書き込み、xtensa_mmu_compute_domain_regsはドメイン構造体とL1テーブルに書き込みを行います)。これによりユーザースペースの分離を損なうページテーブルメモリ破損が生じます。この脆弱な経路は特権カーネル/スーパーバイザコードからのみ到達可能であり(k_mem_domain_deinitはシステムコールではありません)、非特権ユーザースレッドやリモートからは直接アクセスできません。影響を受けるバージョンはZephyr v4.4.0です(Xtensaメモリドメイン初期化解除機能はコミット3032b58f52dで導入され、v4.4.0が初出荷版です)。この問題はarch_mem_domain_deinit()内でsys_slist_find_and_remove()を追加することでmainブランチで修正されました。Xtensa MPU経路には影響を与えません。

Acrobat Readerのバージョン24.001.30365、26.001.21651およびそれ以前のバージョンには、Use After Freeの脆弱性が存在し、この脆弱性により機密メモリの情報漏洩が発生する可能性があります。攻撃者はこの脆弱性を悪用して機密情報を開示できます。この問題を悪用するには、被害者が悪意のあるファイルを開くというユーザーの操作が必要です。

ImageMagickは、デジタル画像の編集および操作に使用される無料のオープンソースソフトウェアです。バージョン7.1.2.23および6.9.13-48以前のバージョンでは、細工されたMSL画像によりヒープの使用後解放（heap-use-after-free）が発生する可能性がありました。この問題はバージョン7.1.2.23および6.9.13-48で修正されています。

Ghidra 12.1より前のバージョンには、PcodeCacher::allocateInstructionが発行済みベクターを再割り当てする際にイテレータが無効化されることにより、SleighBuilder::generatePointerAddでヒープ使用後解放（use-after-free）脆弱性が発生します。攻撃者は公開されているSleigh::oneInstruction C++ APIを通じて悪意のあるバイナリを逆コンパイルすることでメモリ破損を引き起こし、下流のSLEIGHライブラリ利用者に影響を及ぼします。

Ghidra 12.1以前のバージョンには、デコンパイラのHighVariable::merge()関数にヒープ解放後使用の脆弱性が存在します。この脆弱性は変数のマージ処理中に発生します。攻撃者は、HighIntersectTest::highedgemapキャッシュ内の古くなったポインタが逆参照されるように細工したバイナリを作成することで、この脆弱性を悪用できます。これにより、ユーザーがGhidraのデコンパイラビューでバイナリを開いた際に、解放済みヒープメモリのflagsフィールドを読み書きできるようになります。

X.Org XサーバーおよびXwaylandのCreateSaverWindow()にuse-after-freeの脆弱性が発見されました。クライアントがウィンドウ属性を変更してスクリーンセーバーを強制すると、use-after-freeの読み取りが発生し、情報漏洩を招く可能性があります。

ImageMagickは、デジタル画像の編集および操作に使用される無料かつオープンソースのソフトウェアです。バージョン6.9.13-50および7.1.2-25以前では、CheckPrimitiveExtentでメモリ割り当てに失敗すると、ヒープの使用後解放（heap-use-after-free）が発生し、クラッシュを引き起こす可能性があります。この問題は、バージョン6.9.13-50および7.1.2-25で修正されました。

Google Chromeのバージョン149.0.7827.103未満のOzoneにおけるUse after freeの脆弱性によって、ローカル攻撃者がデバイスへの物理的アクセスを介してヒープ破損を悪用できる可能性がありました。

Google Chrome 149.0.7827.53 未満のバージョンの WebGL における Use after free の脆弱性により、リモートの攻撃者が細工された HTML ページを通じてプロセスメモリから潜在的に機密性の高い情報を取得できる可能性がありました。

Google Chromeのバージョン149.0.7827.53より前のCodecsに存在するUse after freeの脆弱性により、リモートの攻撃者が細工されたHTMLページを介してプロセスメモリから潜在的に機密性の高い情報を取得できる問題です。Chromiumのセキュリティにおける深刻度は中程度と評価されています。

Google Chromeの149.0.7827.53以前のバージョンにはネットワークのUse after freeの脆弱性が存在し、リモートの攻撃者が細工されたHTMLページを介してレンダラープロセスのメモリから機密情報を取得する可能性がありました。この脆弱性はChromiumセキュリティチームによって低い重大度と評価されています。

libexpat 2.8.2より前のバージョンには、ポリシー違反が発生した場合に、ハンドラ内からXML_GetBuffer、XML_Parse、XML_ParseBuffer、XML_ParserFree、またはXML_ParserResetへの呼び出しに関するハンドラ呼び出し深度の追跡が欠如しています。そのため、Use-After-Freeの脆弱性が発生する可能性があります。

Google Chromeのバージョン146.0.7680.178以前において、CSSのUse after freeの脆弱性により、リモートの攻撃者が細工されたHTMLページを介してサンドボックス内で任意のコードを実行できる可能性がありました。

Google Chromeの148.0.7778.168以前のバージョンにおけるGoogle LensのUse after freeの脆弱性により、リモートの攻撃者が細工されたHTMLページを介してレンダラープロセスを侵害し、プロセスメモリから潜在的に機密性の高い情報を取得可能でした。

直接アクセスを意図していない$_internalJsEmitを呼び出したり、ある方法でmapreduceコマンドのmap関数を使用した後、認証済みユーザーがサーバーサイドJavaScriptエンジン（$where、$function、mapreduceのreduceステージなど）を特定の方法で使用すると、mongodをクラッシュさせることができ、認証後にサービス拒否（DoS）を引き起こします。この問題は、MongoDB Serverのv8.2.9未満のv8.2系とv8.3.2未満のv8.3系に影響を与えます。

Open5GS 2.7.7 以下にセキュリティ上の欠陥が発見されました。影響を受けるのは、コンポーネントNRFのライブラリ /lib/sbi/nghttp2-server.c 内の関数 discover_handler です。この関数の操作により使用後解放（Use After Free）が発生します。この攻撃はリモートから実行可能です。攻撃に利用されうるエクスプロイトが公開されています。本問題は早期に問題報告を通じてプロジェクトに通知されましたが、まだ対応されていません。

改善されたメモリ管理により、use-after-freeの問題が修正されました。この問題はSafari 26.5、iOS 26.5、iPadOS 26.5、macOS Tahoe 26.5、tvOS 26.5、visionOS 26.5、watchOS 26.5で修正されています。悪意のある細工が施されたウェブコンテンツを処理すると、予期しないSafariがクラッシュする可能性があります。

メモリ管理を改善することにより、Use-After-Freeの問題が対処されました。この問題はSafari 26.5およびmacOS Tahoe 26.5で修正されています。悪意のある細工が施されたウェブコンテンツを処理すると、予期しないSafariがクラッシュする可能性があります。

使用後に解放される問題は、改良されたメモリ管理によって対処されました。この問題はiOS 18.7.9およびiPadOS 18.7.9、iOS 26.5およびiPadOS 26.5、macOS Sequoia 15.7.7、macOS Sonoma 14.8.7、macOS Tahoe 26.5、tvOS 26.5、およびwatchOS 26.5で修正されています。権限のあるネットワーク位置にいる攻撃者は、細工されたWi-Fiパケットを使用してサービス拒否攻撃を実行できる可能性があります。

LIBPNGは、PNG（Portable Network Graphics）ラスター画像ファイルを読み取り、作成し、操作するアプリケーションで使用されるリファレンスライブラリです。バージョン1.0.9から1.6.57未満の間において、png_get_PLTE、png_get_tRNS、またはpng_get_hISTから取得したポインタを同じpng_struct/png_infoペアの対応するセッターに渡すと、セッターは解放されたメモリから読み取り、その内容を置換バッファにコピーしてしまいます。セッターは呼び出し元が提供したポインタからコピーする前に内部バッファを解放するため、ポインタはダングリング状態になります。解放済みの領域には古いデータ（サイレントに破損したチャンクメタデータを生成する可能性があります）や後続のヒープ割り当てからのデータ（チャンク構造体に関係のないヒープ内容が漏洩する可能性があります）が含まれることがあります。この脆弱性はバージョン1.6.57で修正されました。

thin_vecクレートの`IntoIter::drop`および`ThinVec::clear`関数において、ダブルフリーおよび解放後使用（Use-After-Free、UAF）が発生します。さらに、`ptr::drop_in_place`でパニックが発生した際に長さがゼロに設定されない問題があります。

Electronは、JavaScript、HTML、CSSを使用してクロスプラットフォームのデスクトップアプリケーションを作成するためのフレームワークです。バージョン33.0.0-alpha.1から39.8.5、40.8.5、41.1.0、および42.0.0-alpha.5より前のバージョンには、GPU共有テクスチャを使用したオフスクリーンレンダリングを行うアプリにUse-After-Freeの脆弱性が存在する可能性があります。特定の条件下で、ペイントイベントのテクスチャに提供されるrelease()コールバックが、その裏付けとなるネイティブ状態より長く生存し、release()を後で呼び出すとメインプロセス内で解放済みメモリへの参照が発生し、クラッシュやメモリ破損を引き起こす可能性があります。この脆弱性は、webPreferences.offscreen: {useSharedTexture: true}を使用してオフスクリーンレンダリングを行うアプリに限り影響し、共有テクスチャを有効にしていないアプリには影響しません。この問題を緩和するためには、テクスチャが消費された直後にtexture.release()を呼び出し、テクスチャオブジェクトが到達不能になる前に処理を完了させることが推奨されます。この脆弱性は、39.8.5、40.8.5、41.1.0、および42.0.0-alpha.5で修正されています。

細工されたXFA PDFは、計算イベントの処理中に使用後解放（use-after-free）状態を引き起こし、その結果アプリケーションがクラッシュし、任意のコードが実行される可能性があります。

スクリプトを使用してコメントを削除した後にUIのリフレッシュをトリガーする関数を呼び出すと、無効化されたオブジェクトにアクセスしてしまい、プログラムがクラッシュする可能性があります。

ページライフサイクル管理の欠陥により、ドキュメント構造の変更が内部コンポーネントの状態と同期しなくなり、その結果、後続の操作が無効化されたオブジェクトにアクセスしてプログラムがクラッシュする可能性があります。

同じRPZの複数の同時転送があると、不整合なRPZデータが発生し、解放後に使用される（use after free）、および/またはリキューサがクラッシュする可能性があります。通常、同じRPZゾーンの同時転送は、RPZプロバイダーに不具合がある場合にのみ発生します。

wolfSSLのTLS 1.3ポスト量子暗号（PQC）ハイブリッドKeyShare処理に、ヒープの使用後解放（use-after-free）脆弱性が存在します。src/tls.cのTLSX_KeyShare_ProcessPqcHybridClient()のエラー処理パスにおいて、内部関数TLSX_KeyShare_ProcessPqcClient_ex()がエラー発生時にKyberKeyオブジェクトを解放します。呼び出し元は続いてTLSX_KeyShare_FreeAll()を呼び出し、既に解放されたKyberKeyに対してForceZero()を実行しようとします。そのため、解放済みヒープメモリ上にゼロバイトを書き込む状況が発生します。

Windows Universal Plug and Play (UPnP) デバイスホストにおける解放後使用の脆弱性により、不正な攻撃者が隣接するネットワーク上で情報を開示する可能性があります。