脆弱性情報（JVN）検索・一覧

Linuxカーネルにおいて、以下の脆弱性が修正されました：netfilterのBPFに関する問題で、RCUリーダーが完了するまでフックメモリの解放を延期していなかった問題です。Yiming Qian氏は、nfnetlink_hooksを介してフックを同時にダンプする際に発生するUse-After-Free（UaF）を報告しました。エラーメッセージは次の通りです：BUG: KASAN: nfnl_hook_dump_one.isra.0+0xe71/0x10f0におけるスラブ・ユース・アフター・フリー。タスクpoc/79がアドレスffff888003edbf88からサイズ8の読み取りを行いました。呼び出しトレースは以下の通りです：TASK nfnl_hook_dump_one.isra.0+0xe71/0x10f0、netlink_dump+0x554/0x12b0、nfnl_hook_get+0x176/0x230、[...]。この問題に対して、同時実行するリーダーが完了するまでメモリの解放を延期するよう修正しました。

Linuxカーネルにおいて、以下の脆弱性が修正されました：clsactのinit/destroyにおけるロールバック非対称性によるuse-after-free問題の修正です。本脆弱性は、clsactのqdiscを初期化および破棄する際のロールバック非対称性によってuse-after-freeが発生する問題です。具体的には、clsactインスタンスを完全に初期化した後に新しいclsact qdiscインスタンスの置換に失敗することで、この非対称性が生じます。clsact_init()は最初にingressを初期化し、その後egressを処理しますが、途中で例えばtcf_block_get_ext()の失敗などにより処理が中断される場合があります。失敗時にはカーネルがclsact_destroy()コールバックを実行します。コミット1cb6f0bae504（"bpf: Fix too early release of tcx_entry"）にてこの移行方法が詳述されています。q-ingress_block上のtcf_block_get_extが失敗した場合、ingress側ではtcx_miniq_incの参照カウントを取得していますが、egress側ではまだ取得していません。clsact_destroy()は{ingress,egress}_entryがNULLでないかを検査しますが、置換の途中失敗時でも両方とも前のclsactインスタンス由来の有効なegress_entryを持つ非NULLの状態です。真に検査すべきは、そのqdiscインスタンス固有のingressまたはegress側が以前に初期化されたかどうかです。この判定のためにhelper関数mini_qdisc_pair_initedを追加し、clsact_destroy()でそれを用いてuse-after-freeのシナリオを修正しました。同様にingress_destroy()側も修正し、両者の整合性を保ちました。

Linuxカーネルにおいて、次の脆弱性が修正されました。futex: futex_key_to_node_opt()とvma_replace_policy()間のUse-After-Free (UaF) の問題を修正しました。futex_key_to_node_opt()の実行中に、vma-vm_policyは推測的なmmapロックとRCUの下で読み取られます。同時に、mbind()がvma_replace_policy()を呼び出すことがあり、これにより古いmempolicyがkmem_cache_free()を介して即座に解放されます。これにより、__futex_key_to_node()が解放されたmempolicyポインタをデリファレンスする競合状態が発生し、mpol-modeのUse-After-Free読み取りが引き起こされます。以下は関連ログの抜粋です。 [ 151.412631] BUG: KASAN: slab-use-after-free in __futex_key_to_node (kernel/futex/core.c:349) [ 151.414046] タスク e/87 によるアドレス ffff888001c49634 のサイズ2の読み取り [ 151.415969] コールトレース: [ 151.416732] __asan_load2 (mm/kasan/generic.c:271) [ 151.416777] __futex_key_to_node (kernel/futex/core.c:349) [ 151.416822] get_futex_key (kernel/futex/core.c:374 kernel/futex/core.c:386 kernel/futex/core.c:593) 修正は__mpol_put()にrcuを追加することで行われました。

Windows ShellのUse after free脆弱性により、認可された攻撃者がローカルで権限を昇格させることが可能です。

Windowsプッシュ通知における不適切な同期による共有リソースの同時実行（レースコンディション）が発生し、認可された攻撃者がローカルで権限を昇格させることを可能にします。

Windows Ancillary Function Driver for WinSock において、不適切な同期のある共有リソースの使用による同時実行（レースコンディション）が存在し、権限のある攻撃者がローカルで権限を昇格させることが可能となります。

Windowsプッシュ通知における不適切な同期（「競合状態」）がある共有リソースの同時実行により、認可された攻撃者がローカルで権限を昇格させることが可能になる。

Electronは、JavaScript、HTML、およびCSSを使用してクロスプラットフォームのデスクトップアプリケーションを作成するためのフレームワークです。バージョン38.8.6、39.8.1、40.8.0、および41.0.0-beta.8以前には、powerMonitorモジュールを使用するアプリにuse-after-freeの脆弱性が存在する可能性がありました。ネイティブのPowerMonitorオブジェクトがガベージコレクトされた後、関連するOSレベルのリソース（Windows上のメッセージウィンドウやmacOS上のシャットダウンハンドラ）がダングリング参照を保持します。続くセッション変更イベント（Windows）またはシステムシャットダウン（macOS）が解放済みメモリを逆参照すると、これによりクラッシュやメモリ破損が発生する可能性があります。powerMonitorイベント（サスペンド、再開、ロックスクリーンなど）にアクセスするすべてのアプリが潜在的に影響を受けます。この問題はレンダラー側で直接制御できません。この問題はバージョン38.8.6、39.8.1、40.8.0、および41.0.0-beta.8で修正されています。

ElectronはJavaScript、HTML、CSSを使用してクロスプラットフォームのデスクトップアプリケーションを作成するためのフレームワークです。バージョン38.8.6、39.8.0、40.7.0、および41.0.0-beta.8より前のバージョンでは、非同期でsession.setPermissionRequestHandler()を登録するアプリケーションにおいて、フルスクリーン、ポインターロック、またはキーボードロックの許可リクエストを処理する際にuse-after-freeの脆弱性が存在していました。要求中のフレームがナビゲートしたりウィンドウが閉じられたりすると、許可ハンドラーが保留中の状態で格納されたコールバックを呼び出す際に解放済みメモリを参照し、クラッシュやメモリ破損を引き起こす可能性があります。許可要求ハンドラーを設定していないアプリや、同期的に応答するハンドラーを持つアプリは影響を受けません。この問題はバージョン38.8.6、39.8.0、40.7.0、および41.0.0-beta.8で修正されています。

ElectronはJavaScript、HTML、CSSを使用してクロスプラットフォームのデスクトップアプリケーションを作成するためのフレームワークです。バージョン38.8.6、39.8.0、40.7.0、および41.0.0-beta.8より前のバージョンでは、ダウンロードを許可しプログラムによってセッションを破棄するアプリはuse-after-freeの脆弱性にさらされる可能性があります。ダウンロードのためにネイティブのファイル保存ダイアログが開いている間にセッションが終了すると、そのダイアログを閉じる際に解放されたメモリを参照してしまい、クラッシュやメモリ破損を引き起こす可能性があります。実行時にセッションを破棄しないアプリ、またはダウンロードを許可しないアプリは影響を受けません。この問題はバージョン38.8.6、39.8.0、40.7.0、および41.0.0-beta.8で修正されています。

Electronは、JavaScript、HTML、およびCSSを使用してクロスプラットフォームのデスクトップアプリケーションを作成するためのフレームワークです。バージョン39.8.1、40.7.0、および41.0.0より前のバージョンでは、オフスクリーンレンダリングを使用し、window.open()を介して子ウィンドウを許可するアプリケーションが、use-after-freeの脆弱性に晒される可能性があります。親のオフスクリーンWebContentsが破棄された状態で子ウィンドウが開いたままの場合、子ウィンドウのその後のペイントフレームが解放されたメモリを参照し、クラッシュやメモリ破損を引き起こす可能性があります。影響を受けるのは、オフスクリーンレンダリング(webPreferences.offscreen: true)を使用し、setWindowOpenHandlerで子ウィンドウを許可しているアプリケーションのみです。オフスクリーンレンダリングを使用しないか、子ウィンドウを許可していないアプリケーションは影響を受けません。この問題はバージョン39.8.1、40.7.0、および41.0.0で修正されています。

DOM: CoreおよびHTMLコンポーネントにおけるUse-after-freeの脆弱性です。この脆弱性はFirefox 150、Firefox ESR 115.35、Firefox ESR 140.10、Thunderbird 150、およびThunderbird 140.10で修正されました。

WebRTCコンポーネントにおけるUse-after-freeの脆弱性があります。この脆弱性はFirefox 150、Firefox ESR 140.10、Thunderbird 150、およびThunderbird 140.10で修正されました。

JavaScriptエンジンコンポーネントに存在するUse-after-freeの脆弱性です。この脆弱性はFirefox 150、Firefox ESR 115.35、Firefox ESR 140.10、Thunderbird 150、およびThunderbird 140.10で修正されました。

JavaScriptのWebAssemblyコンポーネントにおけるUse-after-freeの脆弱性が存在します。この脆弱性はFirefox 150およびThunderbird 150で修正されました。

WidgetのUse-after-free脆弱性: Cocoaコンポーネントに存在します。この脆弱性はFirefox 150、Firefox ESR 140.10、Thunderbird 150、およびThunderbird 140.10で修正されました。

libsixelはkmiyaのsixelをベースにしたSIXELエンコーダ/デコーダの実装です。バージョン1.8.7およびそれ以前には、fromgif.cのload_gif()関数にUse-After-Freeの脆弱性が存在します。この脆弱性は、単一のsixel_frame_tオブジェクトがアニメーションGIFのすべてのフレームで再利用され、gif_init_frame()がフレーム間でframe-pixelsをオブジェクトの参照カウントを考慮せずに無条件で解放および再割り当てを行うことが原因です。公開APIは、フレームを保持するためのsixel_frame_ref()と、生のピクセルバッファにアクセスするためのsixel_frame_get_pixels()を明示的に提供しています。そのため、このドキュメント化された使用パターンに従うコールバックは2フレーム目のデコード後にダングリングポインタを持ってしまい、ASANによってヒープのUse-After-Freeが検出されます。ユーザー提供のアニメーションGIFを処理するためにmulti-frameコールバックと共にsixel_helper_load_image_file()を使用する任意のアプリケーションが影響を受け、影響範囲は信頼性の高いクラッシュからコード実行の可能性まで及びます。この問題はバージョン1.8.7-r1で修正されました。

libsixelはkmiyaのsixelに由来するSIXELエンコーダ/デコーダの実装です。バージョン1.8.7以前のlibsixelには、sixel_encoder_encode_bytes()関数にuse-after-freeの脆弱性が含まれていました。これは、sixel_frame_init()が呼び出し元所有のピクセルバッファポインタを防御的コピーを行わずに直接frame-pixelsに格納するために発生します。リサイズ操作がトリガーされると、sixel_frame_convert_to_rgb888()がこの呼び出し元所有のバッファを無条件に解放し、新しい内部割り当てに置き換えます。その結果、呼び出し元には未使用のポインタが残ることになります。呼び出し元が元のバッファにアクセスするとuse-after-freeとなり、AddressSanitizerによって検出されています。受信フレームを制御できる攻撃者は、このバグを繰り返しかつ予測可能にトリガーし、信頼性の高いクラッシュおよびコード実行を引き起こす可能性があります。この問題はバージョン1.8.7-r1で修正されました。

libsixelはkmiyaのsixelから派生したSIXELエンコーダー/デコーダーの実装です。バージョン1.8.7以前では、--with-gdk-pixbuf2オプションを付けてビルドした場合、loader.cのload_with_gdkpixbuf()においてuse-after-freeの脆弱性が存在していました。クリーンアップの過程で、sixel_frame_tオブジェクトとその内部バッファを参照カウントを考慮せずに手動で解放しており、オブジェクトはrefcountedコンストラクターのsixel_frame_new()を介して作成され、パブリックコールバックに公開されています。コールバックがsixel_frame_ref(frame)を呼び出して論理的に有効な参照を保持していても、sixel_helper_load_image_file()の戻り後にはダングリングポインタを保持し、フレームやそのフィールドへの後続アクセスはAddressSanitizerによりuse-after-freeが確認されています。根本原因は同一コードベース内での2つのクリーンアップ方法の不整合にあり、load_with_builtin()ではsixel_frame_unref()が使われるのに対し、load_with_gdkpixbuf()では生のfree()が使用されていました。攻撃者はgdk-pixbuf2サポート付きlibsixelをリンクした任意のアプリケーションに対して細工された画像を供給することで、この問題を確実に誘発でき、情報漏洩、メモリ破壊、コード実行のリスクがあります。この問題はバージョン1.8.7-r1で修正されました。

Nitro PDF Pro for Windows 14.41.1.4には、JavaScriptメソッドthis.mailDoc()の実装においてヒープのUse-After-Free脆弱性が含まれています。実行中、内部のXIDオブジェクトが割り当てられた後に早期に解放され、その後も解放されたポインタがUIおよびログ支援関数に渡され続けます。解放されたメモリ領域には予測不能なヒープデータや攻撃者が制御するJavaScript文字列の残骸が含まれている可能性があるため、wcscmp()のような下流のルーチンが無効または古いポインタを処理してしまいます。これによりアクセス違反や非決定論的なクラッシュが発生する可能性があります。

Windows TDI Translation Driver (tdx.sys) の use after free 脆弱性により、認証された攻撃者がローカルで権限を昇格させることが可能です。

Microsoft Windows Search コンポーネントにおける Use after free の脆弱性により、認証された攻撃者がローカルで特権を昇格させることが可能です。

Windowsユーザーインターフェイスコアにおける不適切な同期が共有リソースの同時実行（レースコンディション）を引き起こし、権限を持つ攻撃者がローカルで権限を昇格できるようにします。

Windows Universal Plug and Play（UPnP）デバイスホストにおけるUse after freeの脆弱性により、認証された攻撃者がローカルで権限を昇格させることが可能です。

Windows Universal Plug and Play (UPnP) デバイスホストにおける Use after free の脆弱性により、認可された攻撃者がローカルで権限を昇格させることが可能となります。

Windows WFP NDIS ライトウェイトフィルタドライバー (wfplwfs.sys) における Use after free の脆弱性により、認証された攻撃者がローカルで特権を昇格させることが可能となります。

WindowsのTCP/IPにおける不適切な同期により共有リソースで同時実行（レースコンディション）が発生し、認可された攻撃者がローカル環境で特権を昇格させることが可能です。

Windows Ancillary Function Driver for WinSockにおけるUse after freeの脆弱性により、権限を持つ攻撃者がローカルで特権を昇格させることが可能です。

デスクトップウィンドウマネージャにおけるUse after freeの脆弱性により、権限を持つ攻撃者がローカルで特権を昇格させることが可能です。

デスクトップウィンドウマネージャにおけるUse after freeの脆弱性により、権限を持つ攻撃者がローカルで特権を昇格させることが可能です。

Windows Cloud Files Mini Filter Driverにおける不適切な同期を伴う共有リソースの同時実行（「競合状態」）により、認可された攻撃者がローカルで権限を昇格させることが可能です。

Windowsプロジェクテッドファイルシステムにおける不適切な同期を伴う共有リソースの同時実行（レースコンディション）により、認可された攻撃者がローカルで特権を昇格させることが可能です。

Windows Common Log File System DriverにおけるUse after freeの脆弱性により、権限を持つ攻撃者がローカル環境で権限を昇格させることが可能です。

Windows Ancillary Function Driver for WinSockにおけるUse after freeの脆弱性により、認証済みの攻撃者がローカルで権限を昇格させることが可能になります。

Windows Universal Plug and Play (UPnP) Device Host における Use after free の脆弱性により、認証されていない攻撃者がローカルでコードを実行できる可能性があります。

Windows Universal Plug and Play (UPnP) デバイスホストにおける Use after free の脆弱性により、権限を持つ攻撃者がローカルで特権を昇格させることが可能です。

Windows Projected File SystemにおけるUse after freeの脆弱性により、認可された攻撃者がローカルで権限を昇格させることが可能となります。

Windows WalletServiceのUse after freeの脆弱性により、権限を持つ攻撃者がローカルで権限を昇格させることが可能になります。