脆弱性情報（JVN）検索・一覧

IOCTL呼び出しを処理する際に、解放された後のバッファにアクセスすることでメモリ破損が発生します。

共有バッファへの同時アクセスが発生した場合、IOCTL呼び出しの処理中にメモリ破損が発生します。

Linuxカーネルにおいて、以下の脆弱性が修正されました。ksmbdでは、ksmbd_chann_listのxarrayを保護するためにchann_lockを追加しました。ksmbd_chann_listのxarrayには同期が欠如しており、マルチチャネルセッション（lookup_chann_list()とksmbd_chann_delの間）でuse-after-freeが発生する可能性がありました。struct ksmbd_sessionにrw_semaphoreであるchann_lockを追加し、すべてのxa_load、xa_store、xa_eraseアクセスを保護します。

Linuxカーネルにおいて、以下の脆弱性が修正されました。HID: uclogicのhidinputに関するinput_dev名前のdevmデバイス参照を修正しました。input_dev名前のdevm割り当てにおいて、inputデバイスではなくHIDデバイスを参照しています。input_devを参照すると、input_devが登録解除され、その後名前に依存するueventが発火した際にuse-after-freeが発生する可能性があります。ueventが発火する時点で、名前はdevres管理によって解放されてしまいます。メモリの割り当ておよびinput_dev名前文字列のフォーマットのロジックを簡素化するためにdevm_kasprintfを使用しています。

Linuxカーネルにおいて、tls: get_netdev_for_sock()関数内で__sk_dst_get()およびdst_dev_rcu()を使用するように変更されました。get_netdev_for_sock()はsetsockopt()の実行中に呼び出され、RCU下ではないため、sk_dst_get(sk)-devの使用はUse-After-Free（UAF）を引き起こす可能性があります。そのため、__sk_dst_get()とdst_dev_rcu()の使用に置き換えられました。唯一のndo_sk_get_lower_dev()の利用者はRCUを使用するbond_sk_get_lower_dev()です。

Linuxカーネルにおいて、以下の脆弱性が修正されました。ksmbdにおいて、高い同時実行時に切断パスでツリー接続オブジェクト（tcon）が解放される一方で、別のパスがその参照を保持し続けます。そのため、その後*_put()/writeを実行するとuse-after-freeの問題が発生します。この問題はksmbd_tree_connect_putで修正されました。

Linuxカーネルにおいて、以下の脆弱性が修正されました：btrfsのbtrfs_get_or_create_delayed_node()関数に存在したUse-After-Freeの問題です。以前、この関数はroot-delayed_nodesロックを取得する前にdelayed_nodeのrefcountを設定していました。コミットe8513c012de7（"btrfs: implement ref_tracker for delayed_nodes"）では、refcount_setをクリティカルセクション内に移動し、refcount設定とbtrfs_inode-delayed_node設定の間にメモリバリアがなくなりました。そのため、node-refsとbtrfs_inode-delayed_nodeへの書き込みが順序通りに可視化されない可能性がありました。別スレッドがbtrfs_inode-delayed_nodeを読み込み、まだ設定されていないrefcountをインクリメントしようとすると、refcountの不具合とUse-After-Freeの問題が発生しました。この問題を修正するため、refcount_setを元の位置に戻し、ロック取得によって提供される暗黙のメモリバリアを利用するようにしました。また、割り当てがロックのクリティカルセクション外で行われるため、GFP_ATOMICではなくGFP_NOFSを使用できるようにしました。

LinuxカーネルのTegra ADMAドライバには、XRUN状態でオーディオストリームが終了する際にuse-after-freeの脆弱性が存在します。この問題は、DMAバッファが解放された後に完了タスクレットが既に解放されたメモリへアクセスすることによって発生します。修正では、vchanの完了処理の同期を改善し、ディスクリプタの誤った解放を防止しています。これにより、メモリ使用後の解放による不正アクセスが解消されます。

Linuxカーネルにおいて、以下の脆弱性が修正されました。nfsdのv4_end_graceに関するロックの問題です。v4_end_graceへの書き込みはサーバーのシャットダウンと競合し、特にreclaim_str_hashtbl内で解放後のメモリにアクセスする可能性があります。nfsd_mutexをnfsd4_end_grace()呼び出し中に保持できない理由は、client_tracking_op-init()の呼び出し中にnfsd_mutexが保持され、この操作がnfsdcltrackへのアップコールを待つことがあり、これがv4_end_graceへの書き込みを引き起こす可能性があり、デッドロックを発生させるためです。nfsd4_end_grace()はランドロマットのワークキューからも呼ばれますが、サーバーのシャットダウンはワークを停止し、それを待機してからnfsd4_end_grace()がアクセスする可能性のあるリソースを解放します。そのため、この場合はロックを必要としません。しかし、シャットダウンがワークの待機を既に行った後に、v4_end_graceへの書き込みがワークアイテムを再起動しないことを保証する必要があります。これを実現するために、nn-client_lockで保護された新しいフラグを追加しました。このフラグはクライアントトラッキングコールを安全に行える間のみセットされ、v4_end_graceはこのフラグがセットされ、スピンロック保持中にのみワークをスケジュールします。したがって、このパッチはnfsd_net構造体に「client_tracking_active」フィールドを追加し、前述の通り設定します。さらに「grace_end_forced」という別のフィールドがv4_end_graceが書き込まれた際にセットされます。このフラグがセットされ、かつclient_tracking_activeがセットされている場合、ランドロマットがスケジュールされます。「grace_end_forced」フィールドは猶予期間が終了したかどうかの他のチェックをバイパスします。これにより、use-after-freeによる競合状態が解決されます。

Linuxカーネルにおいて、以下の脆弱性が修正されました。ublkのublk_partition_scan_workにおけるUse-After-Freeの問題を修正しました。非同期のパーティションスキャン作業とデバイスの停止処理の間に競合状態が存在し、ub-ub_diskのUse-After-Freeが発生する可能性がありました。手順は以下のとおりです。1. ublk_ctrl_start_dev()はadd_disk()の後にpartition_scan_workをスケジュールします。2. ublk_stop_dev()はublk_stop_dev_unlocked()を呼び出し、そこでdel_gendisk(ub-ub_disk)を実行し、ub-ub_diskはublk_detach_disk()によりNULLに設定されます。その後、put_disk()によってディスクが解放される可能性があります。3. ワーカーであるublk_partition_scan_work()がその後にub-ub_diskを参照し、Use-After-Freeが発生します。この問題は、パーティションスキャン中にディスクへの参照を保持するために、ワーカー内でublk_get_disk()とublk_put_disk()を使用することで修正されました。ublk_get_disk()のスピンロックはublk_detach_disk()と同期し、ワーカーが有効な参照を取得するかNULLを検出して早期に終了することを保証します。また、flush_work()をcancel_work_sync()に変更し、ディスクが既に切り離されている場合にパーティションスキャン作業の不必要な実行を回避しています。

FreeRDPはリモートデスクトッププロトコルの無料実装です。バージョン3.23.0以前では、`xf_rail_server_local_move_size`が解放された`xfAppWindow`ポインタを参照してしまう問題がありました。これは、`xf_rail_get_window`が`railWindows`ハッシュテーブルから保護されていないポインタを返すためであり、メインスレッドがRAILチャネルスレッドがポインタを使用している間に（ウィンドウの削除命令によって）同時にウィンドウを削除できてしまうことが原因です。バージョン3.23.0でこの問題は修正されています。

FreeRDPはリモートデスクトッププロトコルの無料実装です。バージョン3.23.0以前では、タイトル割り当てに失敗した際に`xf_rail_window_common`が`railWindows`ハッシュテーブルからエントリを先に削除せずに`free(appWindow)`を呼び出していました。そのため、`HashTable_Free`クリーンアップ中に解放済みの`xfAppWindow`ポインタを`rail_window_free`が参照し、切れたポインタが切断時に再度解放される問題が発生していました。この脆弱性はバージョン3.23.0で修正されています。

FreeRDPはリモートデスクトッププロトコルの無償実装です。バージョン3.23.0以前では、ヒープ使用後解放の修正が不完全でした。SDL2実装では解放後にポインタがヌルに設定されず、これにより脆弱性が残っていました。修正はSDL3のコードパスのみに適用されており、SDL2を使用し続けている環境では脆弱性のあるロジックが存在する可能性があります。完全な修正はバージョン3.23.0で提供されています。

ckolivas lrzip 0.651までに脆弱性が発見されました。この脆弱性はファイル stream.c の関数 lzma_decompress_buf に影響します。操作を行うと use after free が発生します。攻撃はローカルから実施する必要があります。エクスプロイトは公開されており、悪用される可能性があります。プロジェクトには問題が早期に問題報告を通じて通知されましたが、まだ対応が完了していません。

IndexedDB コンポーネントにおける Use-after-free の脆弱性です。この脆弱性は Firefox バージョン 148 未満、Firefox ESR バージョン 115.33 未満および 140.8 未満、Thunderbird バージョン 148 未満および 140.8 未満に影響します。

DOMのUse-after-free脆弱性がCoreおよびHTMLコンポーネントに存在します。この脆弱性はFirefox 148未満およびThunderbird 148未満のバージョンに影響を及ぼします。

FascinatedBox lily バージョン2.3までに脆弱性が確認されました。この問題の影響を受けるのは、ファイル src/lily_symtab.c の shorthash_for_name 関数です。この操作により、使用後の解放（use after free）が発生します。この攻撃を行うにはローカルアクセスが必要です。悪用コードは既に公開されており、使用される可能性があります。プロジェクトには問題が早期に問題報告を通じて通知されましたが、まだ対応が完了していません。

monkeyのコミットf37e984にあるmk_core/mk_string.cのmk_string_char_search関数にはuse-after-freeの脆弱性が存在します。この脆弱性により、攻撃者は細工されたHTTPリクエストをサーバーに送信し、サービス拒否（DoS）を引き起こすことが可能です。

Google Chrome 145.0.7632.75より前のバージョンには、CSSのUse after freeの脆弱性が存在しており、リモートの攻撃者が細工されたHTMLページを介してサンドボックス内で任意のコードを実行できる可能性がありました。

Linuxカーネルにおいて、次の脆弱性が修正されました：cpufreq: davinciにおける解放後のclk使用の問題です。remove関数は最初にclkを解放し、その後にcpufreq_unregister_driver()を呼び出します。もしcpufreq_unregister_driver()が実行される直前にcpufreqのコールバックの一つが呼ばれた場合、解放されたclkが使用される可能性があります。

Linuxカーネルのdrm/i915に存在した脆弱性に関して、GuC仮想エンジンのリクエストを適切にマークしてuse-after-freeを防止する問題が修正されました。この脆弱性により、i915_requestsへの参照がユーザー空間のsync_fileやdmabufによって無期限に保持されるため、メモリリークが発生していました。リクエスト完了後は参照を保持しないようにし、フェンス解放時にはrq-engineが有効でハードウェアエンジンを指しているかどうかを判別できるよう、追加のビットをrq-execution_maskに導入しました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。iavfのfree_netdev関数で発生していたuse-after-freeの問題です。すべての割り当てられたq_vectors[]に対してnetif_napi_add()を実行しますが、その一部にのみnetif_napi_del()を実行し、q_vectorsをkfreeした後にdev-napi_listに無効なポインタが残ってしまう可能性がありました。リプロデューサはシェルスクリプトであり、sriov_numvfsの設定とネットワークインターフェースの設定を繰り返すことにより、free_netdev関数内でUse-after-freeエラーを引き起こします。結果として、KASANによるuse-after-free検出とカーネルパニックが発生します。この問題はメモリ解放後のポインタ操作に起因しており、修正によって適切にメモリ解放およびリスト管理が行われるようになりました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。ip_vtiのdecode_session6内に存在した潜在的なスラブ使用後解放（use-after-free）の問題が修正されました。ip_vtiデバイスがsfbタイプのqdiscに設定されている場合、送信されるskbのcbフィールドがエンキュー時に変更される可能性がありました。その結果、ip_vtiデバイスがIPv6パケットを送信する際にスラブ使用後解放の問題が発生することがありました。コミットf855691975bb（「xfrm6: _decode_session6内のnexthdrオフセットを修正」）で示されたように、xfrm_decode_sessionは元々受信パス専用に設計されていました。IP6CB(skb)-nhoffは送信時に設定されません。そのため、パケット送信前にskb内のcbフィールドを0に設定するように変更されました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。tracing/histogramsにおけるヒストトリガーは、参照された変数がある場合にhist_varsにヒストグラムを追加しますが、直接の変数フィールドを持たずに参照変数を持つことがあります。これはトリガーのアクションに参照変数が追加される場合に発生します。この場合、新たに追加された参照には変数フィールドがありません。こうした参照された変数を考慮しなければ、変数が参照されたままのヒストトリガーを削除できてしまうバグが発生する可能性があります。このバグは以下の手順で簡単に再現可能です。$ cd /sys/kernel/tracing $ echo 'synthetic_sys_enter char[] comm; long id' synthetic_events $ echo 'hist:keys=common_pid.execname,id.syscall:vals=hitcount:comm=common_pid.execname' events/raw_syscalls/sys_enter/trigger $ echo 'hist:keys=common_pid.execname,id.syscall:onmatch(raw_syscalls.sys_enter).synthetic_sys_enter($comm, id)' events/raw_syscalls/sys_enter/trigger $ echo '!hist:keys=common_pid.execname,id.syscall:vals=hitcount:comm=common_pid.execname' events/raw_syscalls/sys_enter/trigger。この結果として、KASANによるslab-use-after-freeエラーなどのバグが発生し、カーネルのスタックトレースに詳細が報告されます。本脆弱性の修正によって、参照された変数があるヒストトリガーの適切な管理が保証され、上記のuse-after-freeおよびメモリ破損の問題が防止されます。

Linuxカーネルにおいて、以下の脆弱性が修正されました。ksmbdのkrb_authenticate関数にダングリングポインタの問題がありました。krb_authenticateはsess-userを解放しますが、ポインタをNULLに設定しません。ksmbd_krb5_authenticateがsess-userを再初期化するために呼び出されますが、この関数は場合によっては初期化せずに戻ることがあります。その場合、krb_authenticateを呼び出すsmb2_sess_setupは、後でsess-userを使用するときに解放済みメモリにアクセスしてしまいます。

Windows KDC Proxy Service（KPSSVC）におけるUse after freeの脆弱性により、認証されていない攻撃者がネットワークを介してコードを実行できる可能性があります。

monkeyのコミットf37e984にあるmk_server/mk_http.cのmk_http_request_end関数におけるuse-after-freeの脆弱性により、攻撃者が細工されたHTTPリクエストをサーバーに送信するとサービス拒否（DoS）を引き起こす可能性があります。

Google Chrome のバージョン 145.0.7632.45 未満における CSS の Use after free により、リモートの攻撃者が細工された HTML ページを介してヒープ破損を引き起こす可能性がありました。

Google Chromeの145.0.7632.45以前のバージョンのOzoneにおけるUse after freeの脆弱性により、遠隔の攻撃者が特定のUI操作をユーザーに行わせるように仕向け、細工されたHTMLページを介してヒープ破損を悪用する可能性がありました。

Windows Subsystem for Linux における Use after free の脆弱性により、認可された攻撃者がローカルで権限を昇格させることが可能です。

WindowsクラスタクライアントのフェイルオーバーにおけるUse after freeの脆弱性により、認証された攻撃者がローカルで権限を昇格させることが可能となります。

MailslotファイルシステムにおけるUse after freeの脆弱性により、認可された攻撃者がローカルで権限を昇格させることが可能です。

After Effects バージョン25.6およびそれ以前のバージョンにはUse After Freeの脆弱性が存在し、これにより現在のユーザーのコンテキストで任意のコードが実行される可能性があります。この問題を悪用するためには、被害者が悪意のあるファイルを開くというユーザー操作が必要です。

After Effects のバージョン 25.6 以前には Use After Free の脆弱性が存在し、この脆弱性により現在のユーザーのコンテキストで任意のコードが実行される可能性があります。この問題を悪用するには、被害者が悪意のあるファイルを開く操作を行う必要があります。

After Effects のバージョン 25.6 およびそれ以前のバージョンは、Use After Free の脆弱性の影響を受けています。この脆弱性により、現在のユーザーのコンテキストで任意のコードが実行される可能性があります。この問題を悪用するには、被害者が悪意のあるファイルを開くというユーザーの操作が必要となります。

After Effects のバージョン 25.6 以前には Use After Free の脆弱性が存在し、これにより現在のユーザーのコンテキストで任意のコードが実行される可能性があります。この問題を悪用するためには、被害者が悪意のあるファイルを開くというユーザー操作が必要です。

After Effectsのバージョン25.6以前にはUse After Freeの脆弱性が存在し、これにより現在のユーザーの権限で任意のコードを実行される可能性があります。この問題を悪用するためには、被害者が悪意のあるファイルを開くというユーザーの操作が必要です。

複数のスレッドが同時にメモリ解放APIにアクセスした際にメモリが破損する問題です。

メモリポインタの不適切な処理により、グラフィックス処理ユニットのメモリバッファを解放する際にメモリ破損が発生します。

ユーザー空間のアドレスが変更され、mem_free API に渡される際にメモリ破損が発生し、その結果カーネルメモリが誤って解放されます。