脆弱性情報（JVN）検索・一覧

Windows Cloud Files Mini Filter DriverにおけるUse after freeの脆弱性により、権限を持つ攻撃者がローカルで特権を昇格させることが可能となります。

Windows Telephony ServiceにおけるUse after freeの脆弱性により、認可された攻撃者がローカルで特権を昇格させることが可能となります。

JavaScriptのUse-after-free脆弱性はWebAssemblyコンポーネントに存在します。この脆弱性はFirefox 150.0.3で修正されました。

Windows Telephony Service における Use after free の脆弱性により、権限のある攻撃者がローカルで特権を昇格させることが可能です。

Windows TCP/IPのUse after free脆弱性により、不正な攻撃者がネットワーク上で情報を漏洩させる可能性があります。

Windowsカーネルモードドライバーに存在するUse after freeの脆弱性により、権限を持つ攻撃者がローカルで権限を昇格させることが可能です。

Windows SMBクライアントにおけるUse after freeの脆弱性により、認可された攻撃者がローカルで権限を昇格させることが可能です。

WindowsのTCP/IPにおけるUse after freeの脆弱性により、権限のない攻撃者がネットワーク越しにコードを実行できる可能性があります。

データ重複排除におけるUse after freeの脆弱性により、認可された攻撃者がローカル環境で権限を昇格させることが可能です。

Linuxカーネルにおいて、mm/page_allocのfree_pages_prepare()関数内でpage-privateをクリアする修正が行われました。いくつかのサブシステム（slub、shmem、ttmなど）はpage-privateを使用していますが、ページ解放前にこれをクリアしなかったため、分割されたハイオーダーページの末尾のページに古い値が残り、スワップサブシステムでユースアフターフリーやカーネルクラッシュが引き起こされていました。この問題はfree_pages_prepare()内でpage-privateをクリアすることで解決されました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。Bluetoothのhci_syncにおけるle_read_features_complete関数のUse-After-Free（UAF）を修正しました。この修正は、hci_connがle_read_features_completeの呼び出し前に解放され、hci_le_read_remote_features_syncの後に発生したバックトレースの問題を解決します。そのため、hci_conn_delからhci_cmd_sync_dequeueへの処理が防止できなくなっていました。問題の詳細としては、KASAN（Kernel Address SANitizer）によるslab-use-after-freeのバグが含まれており、atomic_read_write、atomic_dec_and_test、hci_conn_drop、le_read_features_completeなどの複数の関数内で発生しています。この問題は、kworkerタスクによって解放済みのメモリ領域に4バイトの書き込みが行われたことに起因します。影響を受ける環境はGoogle Compute EngineのLinuxカーネルであり、BIOSバージョンは2025年10月25日です。この脆弱性の修正により、Bluetoothのリモート機能読み取り処理中に発生するUse-After-Freeの問題が解消されます。

Linuxカーネルにおいて、以下の脆弱性が修正されました。ipv6のaddrconf_permanent_addr()関数で発生する可能性があるUse-after-Free（UaF）を防止するためです。指摘されたヘルパーは異常な状態についてユーザーに警告しようとしますが、そのメッセージが遅れて届けられ、ipv6にアクセスした際には既に削除されている可能性があります。可能なUaFを回避するために、文の順序を入れ替え、同時に警告をidev-lockの外側に置くようにしました。警告は保護を必要としないためです。

Linuxカーネルのdrm/amdgpuにおいて、VM取得時のuse-after-free競合の脆弱性を修正しました。非原子的なvm-process_infoの代入をcmpxchg()に置き換えることで、fork()後に親プロセスと子プロセスが同じdrm_fileを共有し、両方が同じVMを取得しようとした際の競合を防止しました。この問題はコミットc7c573275ec20db05be769288a3e3bb2250ec618からチェリーピックされました。

Linuxカーネルにおいて、以下の脆弱性が修正されました: net: nexthop: remove_nh_grp_entry内のpercpu use-after-freeの問題を修正しました。グループからnexthopを削除する際、remove_nh_grp_entry()はrсu_assign_pointer()で新しいグループを公開し、その直後にfree_percpu()で削除されたエントリのpercpu統計を解放していました。しかし、呼び出し元のremove_nexthop_from_groups()内のsynchronize_net()の猶予期間はfreeの後に実行されます。公開前に入ったRCUリーダーは古いグループを見続けるため、nh_grp_entry_stats_inc()関数がget_cpu_ptr(nhge-stats)を介して解放済みの統計にアクセスし、percpuメモリのuse-after-freeが発生していました。修正として、呼び出し元でsynchronize_net()の呼び出し後までfree_percpu()の遅延を行うようにしました。削除されたエントリはnh_listを介してローカルの遅延解放リストに連結され、猶予期間が終了してすべてのRCUリーダーが終了した後にpercpu統計を安全に解放するようにしています。

Google Chrome 148.0.7778.168より前のバージョンのGPUにおけるUse After Freeの脆弱性により、リモートの攻撃者が細工されたHTMLページを介してサンドボックス内で任意のコードを実行できる可能性がありました。

メモリ管理の改善により、Use-After-Freeの問題が修正されました。この問題はSafari 26.5、iOS 26.5、iPadOS 26.5、macOS Tahoe 26.5、tvOS 26.5、visionOS 26.5、およびwatchOS 26.5で修正されています。悪意のある細工が施されたウェブコンテンツを処理すると、Safariが予期せずクラッシュする可能性があります。

Premiere Proのバージョン26.0.2、25.6.4およびそれ以前のバージョンは、Use After Freeの脆弱性の影響を受けており、これにより現在のユーザーのコンテキストで任意のコードを実行される可能性があります。この問題を悪用するためには、被害者が悪意のあるファイルを開く必要があります。

メモリ管理の改善により、使用後の解放に関する問題を対処しました。この問題はiOS 18.7.9およびiPadOS 18.7.9、iOS 26.5およびiPadOS 26.5、macOS Sequoia 15.7.7、macOS Sonoma 14.8.7、macOS Tahoe 26.5、tvOS 26.5、visionOS 26.5、watchOS 26.5で修正されています。リモートの攻撃者が予期しないシステムの終了やカーネルメモリの破損を引き起こす可能性があります。

MongoDBのフィールドレベル暗号化（FLE）のクエリ解析コンポーネントにUse-after-freeの脆弱性が存在し、mongocryptdおよびcrypt_sharedのクライアント側で使用される際に影響を及ぼします。この脆弱性が発生するには、クライアントのFLE関連クエリの構造を制御する必要があります。本問題はMongoDB Serverのmongocryptdコンポーネントのv7.0.34未満のv7.0系、v8.0.23未満のv8.0系、v8.2.9未満のv8.2系、およびv8.3.2未満のv8.3系に影響を与えます。

改良されたメモリ管理により、use-after-freeの問題が対処されました。この問題はiOS 16.5およびiPadOS 16.5、macOS Ventura 13.4、tvOS 16.5、visionOS 1.0、watchOS 9.5で修正されています。悪意のある細工が施されたウェブコンテンツの処理により、予期しないプロセスクラッシュが発生する可能性があります。

メモリ管理の改善により、使用後の解放（use after free）問題に対処しました。この問題は、iOS 18.7.9およびiPadOS 18.7.9、iOS 26.5およびiPadOS 26.5、macOS Sequoia 15.7.7、macOS Sonoma 14.8.7、macOS Tahoe 26.5、tvOS 26.5、visionOS 26.5、watchOS 26.5で修正されています。これにより、アプリが予期しないシステムの終了を引き起こす可能性がある問題を防ぎます。

Linuxカーネルにおいて、reset: gpioに関するsysfsのbind属性を抑制する脆弱性が修正されました。この属性は動的に作成される特別なデバイスに対して設定されており、永続的にメモリ上に存在する必要がありますが、実際のリセット制御用のdevlinkが存在していません。sysfsのbind属性を抑制することで、ユーザースペースによるunbind操作を防止し、reset制御ハンドルを扱うユーザーがunbindを行った際に発生するuse-after-freeによるクラッシュを防止しています。

Linuxカーネルのnet: wan: farsyncドライバにはuse-after-freeの脆弱性が存在し、カードの取り外し時に未完了のタスクリストが解放済みのメモリにアクセスすることで発生します。この脆弱性によりカーネルの動作が不安定になる可能性があります。修正によりカードの解放処理が適切に管理され、use-after-freeの問題が防止されました。

Linuxカーネルのdrm/atmel-hlcdcに存在する脆弱性は、drm_crtc_commit解放後のUse-After-Freeを引き起こしていました。この問題は、atmel_hlcdc_plane_atomic_duplicate_state()コールバックがdrm_plane_stateを正しく複製せず、古いcommit状態を参照し続けていたことに起因していました。修正により、__drm_atomic_helper_duplicate_plane_state()を使用して状態を適切に複製するように変更されました。この脆弱性は、別のDRMクライアントが接続中にデバイスノードを閉じて再オープンした場合に発生する可能性があります。

Linuxカーネルのamdgpuドライバに存在する脆弱性は、amdgpu_gem_va_ioctl関数のフェンス同期管理の不具合に起因しています。不適切なフェンス参照の扱いからuse-after-freeが発生し、GPUタイムラインの更新時にカーネルクラッシュやカーネルパニックを引き起こす可能性がありました。本修正により、フェンスの参照管理を適切に行い、参照カウントのアンダーフローを防止しました。また、タイムラインとフェンスの同期処理も改善しています。これにより、関連するカーネルパニックや割り込み時の致命的例外の発生を防止しています。

Linuxカーネルにおいて、以下の脆弱性が修正されました。gpibのIO ioctlハンドラに存在したuse-after-freeの問題です。IBRD、IBWRT、IBCMD、およびIBWAIT ioctlハンドラは、board-big_gpib_mutexが解放された後にgpib_descriptorポインタを使用していました。この間に、IBCLOSEDEV ioctlがclose_dev_ioctl()を通じてディスクリプタを解放する可能性があり、use-after-freeが発生していました。IOハンドラ（read_ioctl、write_ioctl、command_ioctl）は、ハンドラを呼び出す前に明示的にbig_gpib_mutexを解放します。wait_ioctl()はbig_gpib_mutexを保持したまま呼び出されますが、ibwait()はwait_maskが0以外の場合に内部でmutexを解放します。これら四つのケースすべてで、handle_to_descriptor()から得たディスクリプタポインタは保護されていませんでした。これを修正するために、struct gpib_descriptorにカーネル専用のdescriptor_busy参照カウントを導入しました。各ハンドラはfile_priv-descriptors_mutexの下でatomicにdescriptor_busyをインクリメントし、ロックを解放した後に処理を行い、処理完了後にそれをデクリメントします。close_dev_ioctl()は同じロック下でdescriptor_busyをチェックし、参照カウントが0でない場合は-EBUSYでクローズを拒否します。複数のハンドラが同じディスクリプタに同時に操作する可能性があるため（例：異なるスレッドからの同一ハンドルに対するIBRDとIBWAIT）、単純なフラグではなく参照カウントが必要です。io_in_progressはIBWAIT ioctl（set_maskにCMPLを含むgeneral_ibstatus()経由）で特権のないユーザースペースからクリア可能であるため、これに基づくチェックだけでは回避される可能性があります。新しいdescriptor_busyカウンタはカーネルIOパスのみで操作されます。ロックの順序は一貫しており（big_gpib_mutex - descriptors_mutex）、ハンドラは検索時のみ短時間descriptors_mutexを保持するため、デッドロックのリスクはなく、IOスループットに影響を与えません。

Linuxカーネルのatm fore200eデバイスには、デバイス削除時に未処理のタスクリットが解放済みのメモリにアクセスしてしまうuse-after-freeの脆弱性があります。この脆弱性は、fore200eドライバがPCA-200EまたはSBA-200Eアダプターの切断時にfore200eオブジェクトを解放する一方で、送受信のタスクリット（tx_taskletやrx_tasklet）がまだ実行中またはスケジュールされている場合に発生します。結果として、これらのタスクリット関数が解放されたメモリにアクセスし、競合状態を引き起こします。この問題はfore200e_shutdown関数にtasklet_killを追加して、すべてのタスクリットが終了していることを保証することで修正されました。また、tasklet_killの呼び出しは、fore200e_reset実行後のFORE200E_STATE_IRQ状態のブランチ内で行われる必要があり、タスクリットの再スケジュールを防止します。この修正により、未解放メモリアクセスに起因するuse-after-freeバグが解消されました。

Linuxカーネルにおいて、以下の脆弱性が解決されました。usb: usbtmcモジュールのusbtmc_release関数でアンカーされたURBをフラッシュします。usbtmc_releaseを呼び出す際に、保留中のアンカーされたURBはuse-after-freeエラー（例えばHCDのgivebackパスでのエラー）を防止するためにフラッシュまたは破棄しなければなりません。アンカーされたURBを完了させるために、usbtmc_draw_down()関数を呼び出します。

Linuxカーネルにおいて、以下の脆弱性が修正されました。Bluetoothのhci_eventにあるhci_le_remote_conn_param_req_evtにおける潜在的なUse-After-Free（UAF）が修正されました。hci_le_remote_conn_param_req_evt内でのhci_connの参照とフィールドアクセスは、hdevロックで保護される必要があります。保護されていなければ、同時に解放される可能性があります。hci_dev_lockのクリティカルセクションを拡張し、すべてのconnの使用をカバーするように対応しました。

Linuxカーネルにおいて、以下の脆弱性が修正されました：Bluetoothのhci_connに関するset_cig_params_sync関数内での潜在的なUse-After-Free（UAF）問題を修正しました。set_cig_params_sync内でhci_connの参照およびフィールドアクセスは、必ずhdevロックで保護する必要があります。そうしなければ、同時に解放される可能性があります。hdevロックを取得することで、hci_connが同時に削除または変更されるのを防止します。RCUロックだけでは不十分であり、設定の破綻（tearing）も防止しなければなりません。

Linuxカーネルにおいて、以下の脆弱性が修正されました。netfilterのnf_conntrack_helperでは、期待値のクリーンアップにヘルパーを渡す処理に問題がありました。nf_conntrack_helper_unregister()は、登録解除されるヘルパーに属する期待値を削除するためにnf_ct_expect_iterate_destroy()を呼び出します。しかし、data引数としてヘルパーポインタの代わりにNULLを渡すため、expect_iter_me()はどの期待値とも一致せず、すべての期待値がクリーンアップされずに残ります。登録解除が完了すると、nfnl_cthelper_del()はヘルパーオブジェクトを直ちに解放します。その後の期待値ダンプやパケット駆動のinit_conntrack()呼び出しが解放済みのexp-helperを参照し、use-after-freeが発生します。期待値が正しく破棄されるよう、実際のヘルパーポインタを渡してからヘルパーオブジェクトを解放するように修正しました。バグ詳細として、BUG: KASAN: slab-use-after-freeがstring+0x38f/0x430で検出されました。アドレスffff888003b14d20のサイズ1の読み取り処理はタスクpoc/103によって行われました。コールトレースはstring+0x38f/0x430、vsnprintf+0x3cc/0x1170、seq_printf+0x17a/0x240、exp_seq_show+0x2e5/0x560、seq_read_iter+0x419/0x1280、proc_reg_read+0x1ac/0x270、vfs_read+0x179/0x930、ksys_read+0xef/0x1c0の順です。解放したタスク103は、問題のアドレスが解放された192バイト領域[ffff888003b14d00, ffff888003b14dc0)の内側32バイトに位置していることを示しています。

Linuxカーネルにおいて、以下の脆弱性が修正されました。HID: roccatのroccat_report_event内のuse-after-freeの問題を修正しました。roccat_report_event()はreaders_lockを保持せずにdevice-readersリストをイテレートしていました。このため、同時にroccat_release()がリーダーを削除および解放する可能性があり、アクセス中にuse-after-freeが発生していました。readers_lockミューテックスでreadersリストの走査を保護するようにしました。

DOMのUse-after-freeに関する脆弱性がネットワーキングコンポーネントで発生しました。この脆弱性はFirefox 150.0.2、Firefox ESR 140.10.2、Firefox ESR 115.35.2、Thunderbird 150.0.2、およびThunderbird 140.10.2で修正されています。

リモートデスクトップクライアントのUse after freeの脆弱性により、不正な攻撃者がネットワーク経由でコードを実行する可能性があります。

Linuxカーネルにおいて、以下の脆弱性が修正されました。ext4に関しては、umountと競合する際のupdate_super_work内のuse-after-freeを修正しました。コミット b98535d09179（"ext4: fix bug_on in start_this_handle during umount filesystem"）では、アンマウント中に/proc/fs/ext4/xx/mb_groupsの読み取りで新しいエラー作業がキューに追加されるのを防ぐために、ext4_unregister_sysfs()をs_sb_upd_workのフラッシュより前に移動しました。しかし、これによりupdate_super_workがext4_notify_error_sysfs() - sysfs_notify()を呼び出し、kobject_del()によって解放された後のkobjectのkernfs_nodeにアクセスしてしまうuse-after-freeが発生しました。本修正では、解体順序を変更する代わりに、ext4_notify_error_sysfs()がs_kobj.state_in_sysfsをチェックしてsysfsが既に解体済みであることを検出し、その場合はsysfs_notify()の呼び出しをスキップするようにしました。専用のmutex(s_error_notify_mutex)がext4_notify_error_sysfs()とext4_unregister_sysfs()内のkobject_del()間のTOCTOU競合を防止しています。