脆弱性情報（JVN）検索・一覧

解放後のメモリ使用の問題は、改善されたメモリ管理によって対処されました。この問題はiOS 18.7.7およびiPadOS 18.7.7、iOS 26.4およびiPadOS 26.4、macOS Sequoia 15.7.5、macOS Tahoe 26.4、tvOS 26.4、watchOS 26.4で修正されています。この問題によって、アプリが予期しないシステム終了やカーネルメモリへの書き込みが引き起こされる可能性があります。

Linuxカーネルにおけるmacvlan_forward_source()でのUse-After-Freeの可能性を修正しました。struct macvlan_source_entryのvlanメンバーにRCU保護を追加し、macvlan_hash_del_source()呼び出し時にvlanポインタをクリアすることで、解放待ちのエントリをスキップできるようにしました。これにより、メモリの安全性が向上します。

Linuxカーネルにおいて、以下の脆弱性が修正されました：ipv6のinet6_addr_del()関数に存在したuse-after-freeの問題です。syzbotがinet6_addr_del()でinet6_ifaddrのuse-after-freeを報告しました。[0] 指摘されたコミットでは、inet6_addr_del()内で一時的なアドレスのためにifp-flagsを読む前に、mngtmpaddr用のipv6_del_addr()が誤って移動されていました。この問題を修正するために、ipv6_del_addr()の呼び出し位置を下に移動しました。詳細は以下のとおりです：[0] BUG: KASAN: slab-use-after-freeがinet6_addr_del.constprop.0+0x67a/0x6b0（net/ipv6/addrconf.c:3117）で発生しました。syz.3.1618/9593タスクにより、アドレスffff88807b89c86cの4バイトが読み取られています。この問題はGoogle Compute Engine環境で発生し、カーネルのIPv6アドレス削除処理に関連しています。クラッシュ時の呼び出しスタックや割り当ておよび解放のタスクの詳細情報も提供されています。修正は主にinet6_addr_del()関数内の処理順序を見直し、use-after-freeを防止するためのものです。

Linuxカーネルにおいて、mm/damon/coreの非アクティブコンテキストからcall_controlを削除する処理に関する脆弱性が修正されました。この脆弱性は、damon_call()が終了したコンテキストに対して不適切に操作を行うことにより、use-after-freeが発生する可能性があることに起因します。攻撃者はDAMONのsysfsインターフェースを通じてこの問題を悪用できる可能性がありますが、悪用には権限や特定の条件が必要です。この問題は、終了処理中のコンテキストに対するdamon_call()の呼び出しを適切にキャンセルし、エラー時に不正なcall_controlオブジェクトをクリーンアップする修正を加えることで解決されました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。net: octeon_ep_vfにおけるIRQロールバック時のfree_irqのdev_id不一致の問題です。octep_vf_request_irqs()はdev_idをioq_vectorに設定してMSI-XキューIRQを要求します。request_irq()が途中で失敗した場合、ロールバックループはdev_idを'oct'に設定してfree_irq()を呼び出しますが、これは元のdev_idと一致せず、irqactionが登録されたままになる可能性があります。このため、ioq_vectorがアンワインドや終了処理中に解放された後もIRQハンドラが動作し続け、中断発生時にUse-After-Freeまたはクラッシュを引き起こす可能性があります。エラーパスを修正し、request_irq()で使用されたのと同じioq_vectorのdev_idを用いてIRQを解放するようにしました。

Linuxカーネルのiommu/mediatekドライバーにおいて、プローブの延期中に発生するuse-after-freeの脆弱性が修正されました。この脆弱性は、larbデバイスへの参照が適切に管理されていなかったことが原因で生じました。ドライバーはlarbデバイスに正しくバインドされている間に参照を維持することで、この問題を解決しました。

Linuxカーネルにおいて、lkkbdデバイスの解放前に保留中の作業を適切に無効化しなかったために発生する使用後解放（Use-After-Free）の脆弱性が修正されました。lkkbd_interrupt()は作業をスケジューリングし、その作業ハンドラでlkkbd構造体を逆参照しますが、lkkbd_disconnect()とlkkbd_connect()のエラーパスでは構造体が解放される前に作業のキャンセルが不十分でした。そのため、解放後に作業が実行される可能性がありました。この問題はcancel_work_sync()の代わりにdisable_work_sync()を使用して作業の再スケジューリングを防ぐことで修正されました。

Linuxカーネルにおいて、次の脆弱性が修正されました：scsi: aic94xx: デバイス削除パスにおけるuse-after-freeの問題です。asd_pci_remove()関数はasd_ha構造体を解放する前に保留中のタスクリットと同期できず、潜在的なuse-after-free脆弱性を引き起こしていました。デバイスの削除（ホットアンプラグまたはモジュールのアンロードによる）が行われると、レースコンディションが発生する可能性があります。修正では、asd_ha構造体を解放する前にtasklet_kill()を追加し、すべてのスケジュールされたタスクリットがクリーンアップ前に完了するように保証しています。

Linuxカーネルのdrm/xe/oaにあるxe_oa_add_config_ioctl()関数で、潜在的なUse-After-Freeの脆弱性が修正されました。具体的には、metrics_lockを解放した後にoa_config-idにアクセスしていたため、攻撃者がidを推測してxe_oa_remove_config_ioctl()を適切なタイミングで呼び出すことで、解放済みのoa_configにアクセスできる可能性がありました。この問題は、ロックを保持している間にidをローカル変数にキャッシュすることで修正されました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。CONFIG_SLUB_TINYが有効な場合、kfree_nolock()はdefer_free()の前にkasan_slab_free()を呼び出します。ARM64のMTE（メモリタグ拡張）環境では、kasan_slab_free()がメモリに毒を入れ、タグを元のもの（例：0xf3）から毒タグ（0xfe）に変更します。その後、defer_free()がllist_add()を介して遅延フリーリストを構築するために解放されたオブジェクトに書き込みを試みると、ポインタはまだ古いタグのままであり、タグミスマッチが発生し、KASANがuse-after-freeを検出してレポートをトリガーします。BUG: KASAN: slab-use-after-free in defer_free+0x3c/0xbc mm/slub.c:6537 Write at addr f3f000000854f020 by task kworker/u8:6/983 Pointer tag: [f3], memory tag: [fe] これを修正するために、解放されたメモリにアクセスする前にkasan_reset_tag()を呼び出すようにしました。これは、defer_free()がアロケータ自体の一部であり、記帳目的で解放済みメモリを操作することが想定されているため、安全です。

libfuseはLinux FUSEのリファレンス実装です。バージョン3.18.0から3.18.2未満のバージョンにおいて、libfuseのio_uringサブシステムにuse-after-freeの脆弱性が存在します。ローカル攻撃者はFUSEファイルシステムのプロセスをクラッシュさせ、潜在的に任意のコードを実行する可能性があります。io_uringスレッドの作成がリソース枯渇（例：cgroupのpids.max）により失敗した場合、fuse_uring_start()はリングプール構造体を解放しますが、ダングリングポインタをセッション状態に保持し、その結果セッション終了時にuse-after-freeが発生します。この脆弱性はcgroupのpids.max制限によりスレッド作成が自然に制約されるコンテナ環境で確実に発生します。この問題はバージョン3.18.2で修正されています。

PJSIPはC言語で書かれた無料のオープンソースのマルチメディア通信ライブラリです。バージョン2.16以前には、セッション破棄とコールバック間で競合状態が発生した場合に、ICEセッションでヒープの解放後使用（use-after-free）の脆弱性がありました。この問題はバージョン2.17で修正されました。

Linuxカーネルにおいて、linkwatchが__dev_put()を呼び出した後にデバイス参照が解放されるため、Use-After-Free（UAF）が発生する脆弱性が修正されました。この問題はlinkwatch_do_dev()関数内で__dev_put()を呼び出していることに起因し、netdev_unlock_ops()が既に解放されたデバイスにアクセスする状況が生じていました。修正では、__dev_put()の呼び出しをlinkwatch_do_dev()から呼び出し元へ移動し、全てのデバイスアクセスが完了した後に参照を解放することでUAFを防止しています。これにより、デバイスの参照カウント管理が正しく行われ、メモリ安全性が向上しました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。scsi: target: iscsi: iscsit_dec_session_usage_count()関数におけるuse-after-freeの問題が修正されました。iscsit_dec_session_usage_count()関数内では、sess-session_usage_lockを保持したままcomplete()が呼び出されていました。接続使用カウントのロジックと同様に、complete()によってシグナルを受けた待機者（例：セッション解放パス）は直ちにiscsit_session構造体を解放する可能性があります。これにより、現在のスレッドが既に解放されたセッション構造体に対してspin_unlock_bh()を実行しようとする競合状態が発生し、KASAN slab-use-after-freeが生じていました。この問題を解決するために、complete()を呼び出す前にsession_usage_lockを解放し、待機者が解放処理を進める前にsessポインタのすべての参照が完了することを保証しています。

Linuxカーネルにおいて、以下の脆弱性が修正されました：cgroup/dmemのプールにおけるUse-After-Free（UAF）問題です。本問題は、以下のUAF問題として確認されました。BUG: KASAN: slab-use-after-free が page_counter_uncharge+0x65/0x150 内で発生し、アドレス ffff888106715440 にサイズ8の書き込みがタスク insmod/527 により行われました。CPU: 4 UID: 0 PID: 527 Comm: insmod 6.19.0-rc7-next-20260129+ #11 Tainted: [O]=OOT_MODULE。コールトレースは以下の通りです：dump_stack_lvl+0x82/0xd0、kasan_report+0xca/0x100、kasan_check_range+0x39/0x1c0、page_counter_uncharge+0x65/0x150、dmem_cgroup_uncharge+0x1f/0x260。問題のアドレスはオブジェクト ffff888106715400 に属し、kmalloc-512キャッシュの512バイトサイズの領域です。不正なアドレスは解放済み512バイト領域 [ffff888106715400, ffff888106715600) の内部64バイト位置にあります。問題の物理ページと周辺のメモリ状態も報告されています。この問題は、関連付けられたメモリ領域が登録解除された後であっても、呼び出し元がプールを保持し続けるために発生します。現行の実装では、ユーザーがまだ参照を持っている場合でも（例: アンチャージ操作が完了する前であっても）プールが解放されてしまいます。このパッチにより、各プールに参照カウンターを追加し、参照カウントがゼロになったときのみプールが解放されるようにしています。

libsoupというHTTPリクエストを扱うライブラリに脆弱性が見つかりました。この脆弱性はUse-After-Freeとして知られており、HTTP/2サーバーの実装に存在します。リモートの攻撃者は、認証失敗を引き起こす特別に細工されたHTTP/2リクエストを送信することで、この脆弱性を悪用できます。これにより、すでに解放されたメモリにアクセスしようとするアプリケーションの動作が不安定になったりクラッシュしたりし、サービス拒否（DoS）を引き起こす可能性があります。

Google Chrome 146.0.7680.153 より前のバージョンの Base における Use after free の脆弱性により、リモートの攻撃者が細工された HTML ページを介してヒープ破損を引き起こす可能性がありました。

Google Chromeのバージョン146.0.7680.153以前のWebRTCにはUse after freeの脆弱性が存在し、リモートの攻撃者が細工されたHTMLページを介してヒープ破損を引き起こす可能性がありました。

Google Chrome 146.0.7680.153 未満のバージョンの WebRTC で Use after free の脆弱性が存在し、リモートの攻撃者が細工された HTML ページを介してヒープ破損を悪用できる可能性がありました。

Google Chromeのバージョン146.0.7680.153以前のBlinkにおけるUse after freeの脆弱性により、リモートの攻撃者が細工されたHTMLページを介してヒープ破損を悪用できる可能性がありました。

Google Chrome 146.0.7680.153より前のバージョンには、ネットワーク上でのUse after freeの脆弱性が存在し、リモートの攻撃者が細工されたHTMLページを介してヒープ破損を引き起こす可能性がありました。

Google Chrome 146.0.7680.153 未満のバージョンにおいて、Digital Credentials API の Use after free により、リモート攻撃者が細工された HTML ページを介してレンダラープロセスを侵害し、サンドボックスを脱出する可能性がありました。

Google Chromeの146.0.7680.153以前のバージョンの拡張機能におけるUse after freeの脆弱性により、攻撃者が悪意のある拡張機能をインストールするようユーザーを騙して、巧妙に作成されたChrome拡張機能を通じてヒープ破損を悪用する可能性がありました。この脆弱性は、Chromiumのセキュリティ評価で高リスクであると評価されています。

Linuxカーネルにおいて、以下の脆弱性が修正されました：net/schedにおいて、teqlはルートqdiscとしてのみ使用可能であることが強制されます。teqlの設計意図はルートqdiscとしてのみ使用されることであり、その制約をチェックする必要があります。重要度は高くありませんが、この問題を発見したシナリオを好奇心のある方のために説明します。GangMin Kim km.kim1503@gmail.com は以下のシナリオを作成しました。ルートqdisc 1:0 (QFQ) ├── クラス 1:1 (weight=15, lmax=16384) netem（遅延6.4秒） └── クラス 1:2 (weight=1, lmax=1514) teqlです。GangMinはパケットを送信し、それは1:1（netem）にエンクィューされます。QFQがこのクラスからdequeueを呼び出しても、6.4秒経過するまでパケットを返しません。その間に2つ目のパケットが送信され1:2に入ります。teqlのenqueueは成功を返し、それによってクラス1:2がアクティブになります。主な問題は、teqlが親の可視キュー長（sch-q.qlen）をdequeue時にのみ更新することにあります。QFQはpeekが成功したときにのみdequeueを呼び出します（teqlのpeekは常にNULLを返すため）、dequeueは呼び出されずqlenは常に0のままです。これにより、GangMinが1:2のlmax値を更新すると、qfq_change_classがqfq_deact_rm_from_aggを呼び出します。子qdiscのqlenが増加していなかったため、qfqはクラスの非アクティブ化に失敗しますが、それでもアグリゲートからのポインタは解放されます。したがって、最初のパケットが6.4秒後（netemの遅延後）に再スケジュールされる際に、不正なポインタがアクセスされ、GangMinにUAF（Use-After-Free）を引き起こします。

Linuxカーネルにおいて、以下の脆弱性が修正されました：macvlan: macvlan_common_newlink()のエラー復旧に関する修正です。valis氏がカーネルをクラッシュさせる良い再現手順を提供しました。手順は次のとおりです：ip link add p1 type veth peer p2、ip link set address 00:00:00:00:00:20 dev p1、ip link set up dev p1、ip link set up dev p2、ip link add mv0 link p2 type macvlan mode source、ip link add invalid% link p2 type macvlan mode source macaddr add 00:00:00:00:00:20、ping -c1 -I p1 1.2.3.4。また、非常に詳細な解析も提供されました。quote valis 問題は、新しいmacvlanリンクがMACVLAN_MODE_SOURCEモードおよびMACVLAN_MACADDR_ADD（またはMACVLAN_MACADDR_SET）パラメータで作成され、lowerデバイスにすでにmacvlanポートが存在し、macvlan_common_newlink()から呼び出されるregister_netdevice()が失敗した場合（例：無効なリンク名のため）に発生します。この場合、macvlan_change_sources()およびmacvlan_common_newlink()からmacvlan_hash_add_sourceが呼び出されます。これはmacvlan_source_entryを使ってポートのvlan_source_hashにvlanへの参照を追加します。vlanは作成中のリンクのprivデータを指すポインタです。register_netdevice()が失敗すると、そのエラーはmacvlan_newlink()からrtnl_newlink_create()に返されます。if (ops-newlink) err = ops-newlink(dev, &params, extack); else err = register_netdevice(dev); if (err 0) {free_netdev(dev); goto out;} そしてfree_netdev()が呼ばれ、lowerデバイスのmacvlanポートに付けられたsourceエントリでまだ参照されているstruct net_deviceに対してkvfree()が実行されます。その結果、該当するソースMACアドレスを持つmacvlanポート上で送信されるすべてのパケットはmacvlan_forward_source()においてuse-after-freeを引き起こします。/quote valis上記を踏まえ、私の修正では"goto destroy_macvlan_port;"パスが選択された際には@createの値に関係なくmacvlan_flush_sources()を必ず呼び出すようにしました。この問題をフォローアップしてくれたvalis氏に深く感謝しています。

Linuxカーネルにおいて、scsi: target: iscsi: iscsit_dec_conn_usage_count()内のUse-After-Freeの脆弱性が修正されました。iscsit_dec_conn_usage_count()関数はconn-conn_usage_lockを保持したままcomplete()を呼び出しますが、complete()の呼び出しにより待機中のスレッドが起動し、iscsit_conn構造体のメモリが解放される可能性があります。その結果、スレッドが解放されたメモリ内のロックを解放しようとしてKASANのスラブUse-After-Freeエラーが発生します。この問題は、complete()を呼び出す前にスピンロックを解放することで修正されました。

本脆弱性はLinuxカーネルのメモリ管理におけるmm/vmaサブシステムに存在し、mremap()システムコールの処理中にフォールト済みのVMAと非フォールトのVMAを誤ってマージすることで、anon_vmaの解放後に使用されるUse-After-Free（UAF）が発生する問題を修正したものです。本問題は特定のケースにおいてフォールト済みVMAが隣接する非フォールトVMAと不適切にマージされ、anon_vmaデータ構造の管理が不正になることで引き起こされます。この脆弱性はsyzbotによって報告され、複数のケース（前方、後方、両隣のVMAが非フォールトの場合）に対応した修正が行われました。また、マージ処理におけるanon_vmaの複製忘れに起因する問題も解決されており、セルフテストの追加によって修正内容の妥当性が検証されています。これにより、mremap()の範囲を変更する操作で生じる不整合を防止し、匿名メモリ管理の安全性が強化されました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。ALSAのusb-audioにおけるsnd_usb_mixer_free()のuse-after-freeの問題を修正しました。snd_usb_create_mixer()が失敗した場合、snd_usb_mixer_free()はmixer-id_elemsを解放しますが、既にカードに追加されているコントロールは解放されたメモリを参照し続けていました。その後、snd_card_register()が実行されると、OSSミキサーレイヤーがそれらのコールバックを呼び出し、use-after-freeの読み取りが発生していました。呼び出しトレースは次の通りです：get_ctl_value+0x63f/0x820(sound/usb/mixer.c:411)、get_min_max_with_quirks.isra.0+0x240/0x1f40(sound/usb/mixer.c:1241)、mixer_ctl_feature_info+0x26b/0x490(sound/usb/mixer.c:1381)、snd_mixer_oss_build_test+0x174/0x3a0(sound/core/oss/mixer_oss.c:887)、snd_card_register+0x4ed/0x6d0(sound/core/init.c:923)、usb_audio_probe+0x5ef/0x2a90(sound/usb/card.c:1025です。修正内容としては、id_elemsを解放する前にすべてのミキサーコントロールに対してsnd_ctl_remove()を呼び出すようにしました。snd_ctl_remove()は現在の要素を解放し、その際に次のポインタを先に保存します。

Linuxカーネルにおいて、以下の脆弱性が修正されました。netfilterのnf_tablesにおけるnft_map_catchall_activate()関数の逆転したgenmaskチェックが修正されました。nft_map_catchall_activate()はcatchallでない対応関数であるnft_mapelem_activate()および論理的に必要な動作と比較すると、要素のアクティビティチェックが逆転していました。nft_map_catchall_activate()は失敗したトランザクション中に非アクティブ化されたcatchallマップ要素を再アクティブ化するために中止パスから呼び出されます。この関数はすでにアクティブな要素をスキップし（再アクティブ化不要）、非アクティブな要素を処理すべきですが、現行のコードはその逆を行い、非アクティブな要素をスキップしアクティブな要素を処理していました。正しい非catchall版のコールバックであるnft_mapelem_activate()と比較すると、バグのあるcatchall版は不適切な条件を用いています。この結果、DELSET操作が中止された場合、catchall要素に対してnft_setelem_data_activate()が呼ばれず、NFT_GOTO判定要素においてnft_data_hold()が呼ばれずにchain-use参照カウントが復元されません。そのため、各中止サイクルでchain-useが永久に減少し、ゼロになるとDELCHAINが成功してチェーンを解放しますが、catchall判定要素はまだそれを参照し続け、use-after-freeが発生します。この脆弱性はCONFIG_USER_NSとCONFIG_NF_TABLESが有効なディストリビューションにおいて、ユーザーネームスペースとnftablesを通じて非特権ユーザーがローカル権限昇格を行うために悪用可能です。修正では否定を除去し、チェックがnft_mapelem_activate()と一致するように変更し、アクティブな要素をスキップし非アクティブな要素を処理する動作に修正しました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。gpio: virtuserのconfigfsリリースパスにおけるUse-After-Free（UAF）問題を修正しています。gpio-virtuserのconfigfsリリースパスでは、デバイス構造体を保護するためにmutexによるガードが使用されています。しかし、ガードのクリーンアップが実行される前にデバイスが解放されるため、mutex_unlock()が解放済みメモリ上で動作してしまいます。具体的には、gpio_virtuser_device_config_group_release()関数がmutexを破棄し、デバイスを解放した後でも、ガード(mutex)のスコープ内にあるためです。この関数の戻り時に、ガードのクリーンアップがmutex_unlock(&dev-lock)を呼び出し、スラブのUse-After-Freeが発生します。これを改善するために、mutexの寿命をscoped_guard()で囲い、mutex_destroy()やkfree()の前にロックが適切に解放されるよう修正しました。

Linuxカーネルにおいて、bondingのスレーブ配列更新後の enslave 失敗による use-after-free の脆弱性が修正されました。新しいスレーブが配列に追加された後に enslave が失敗すると、割り当てられたスレーブメモリが解放された後も使用される可能性がありました。この問題は、移動されたスレーブ更新配列のタイミングを変更することで解決されました。問題を再現するには、xdp_passプログラムを使って特定のコマンドを実行し、その後、並行して別のコマンドを実行する必要があり、ほぼ直ちにクラッシュが発生します。

Linuxカーネルにおいて、以下の脆弱性が修正されました。binder: binder_netlink_report() におけるUse-After-Free（UAF）の問題を修正しました。Onewayトランザクションが凍結されたターゲットに対して binder_proc_transaction() を通じて送信されると、BR_TRANSACTION_PENDING_FROZEN エラーが返されますが、ターゲットはいずれ解凍（thaw）されることが想定されているため、依然として成功とみなされます。そのため、BR_TRANSACTION_PENDING_FROZEN エラー後に 't' にアクセスすることは安全ではありません。なぜなら、そのトランザクションが既に解凍されたターゲットによって消費されている可能性があるからです。これは binder_netlink_report() において該当し、ペンディングの凍結エラー後に 't' を逆参照してしまいます。この問題は以下のKASANレポートで指摘されました。 ================================================================== BUG: KASAN: slab-use-after-free in binder_netlink_report.isra.0+0x694/0x6c8 8バイトの読み取りがアドレス ffff00000f98ba38 に対してタスク binder-util/522 により行われました。CPU: 4 UID: 0 PID: 522 Comm: binder-util Not tainted 6.19.0-rc6-00015-gc03e9c42ae8f #1 PREEMPT ハードウェア名: linux,dummy-virt (DT) コールトレース: binder_netlink_report.isra.0+0x694/0x6c8 binder_transaction+0x66e4/0x79b8 binder_thread_write+0xab4/0x4440 binder_ioctl+0x1fd4/0x2940 [...] タスク522による割り当て: __kmalloc_cache_noprof+0x17c/0x50c binder_transaction+0x584/0x79b8 binder_thread_write+0xab4/0x4440 binder_ioctl+0x1fd4/0x2940 [...] タスク488による解放: kfree+0x1d0/0x420 binder_free_transaction+0x150/0x234 binder_thread_read+0x2d08/0x3ce4 binder_ioctl+0x488/0x2940 [...] ================================================================== 代わりに、トランザクションのコピーを作成し、ペンディングの凍結エラー後でも binder_netlink_report() が安全にデータへアクセスできるようにしました。加えて、binder_netlink_report() 内で t-buffer を使用しないことに関するコメントを追加しました。

Linuxカーネルにおいて、以下の脆弱性が修正されました： wifi: iwlwifi: mld: mlo_scan_start_wkのキャンセルが切断時に行われていませんでした。実際には、再起動のクリーンアップ時以外ではどこでもキャンセルされておらず、しかもその際にはキャンセルする必要はありませんでした。これにより、例えばワークがキューに入れられ、その後drv_change_interfaceが実行された場合に、キュー後の初期化に問題が発生する可能性があります。また、vifが解放された後にワークが実行された場合には、使用後の解放に関する問題も引き起こす可能性があります。