脆弱性情報（JVN）検索・一覧

Linuxカーネルにおいて、以下の脆弱性が修正されました。virtio-mmioに関する問題で、vm_devのライフサイクルが壊れていました。vm_devは'struct device'を内包しているため、リリースコールバックを持つことが正しい動作です。しかし、devresでvm_dev構造体を割り当てるとこの保護機構が完全に崩れてしまいます。プラットフォームデバイスが削除されると、vm_devのリリースコールバックを待つ代わりにメモリが解放され、最終的にコールバックが呼ばれたときにuse-after-freeが発生します。問題を簡単に確認するには、CONFIG_DEBUG_KOBJECT_RELEASEを有効にしてカーネルをコンパイルし、sysfsでバインドを解除してください。修正は簡単で、このケースではdevresを使用しないことです。この問題はオブジェクトのライフタイム問題に関する調査中に発見されました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。drbdのhandle_write_conflictsで欠落していたkref_getが追加されました。"two-primaries"が有効な場合、DRBDは同時書き込みを検出して書き込み競合を処理し、両ノードで同じセクターに同時に書き込んでも、書き込み完了後には同一のデータにします。"superseded"書き込みの処理時にkref_getを忘れており、その結果、drbd_destroy_deviceが早期に呼び出され、解放後の使用が発生し、さらにその結果としてカーネルクラッシュが引き起こされていました。関連情報として、DRBDをランダムデータ生成器として使用すべきではありません。"two-primaries"ユーザーはすべて上位層で同時書き込みを正しく処理しています。つまり、クラスター型ファイルシステムは分散ロックマネージャーを使用し、仮想化環境のライブマイグレーションは一方のノードでの書き込みを停止してから他方のノードで書き込みを開始します。したがって、"テストケース"以外では、このコードパスは実際には通らないことを意味します。参考までに、DRBD 9では現在これらの処理が異なり、"書き込み競合"は検出するものの賢く処理せず、厳しく切断しています。上位層は同時書き込みを送信してはならず、もし送信した場合はそれは上位層の問題とみなされます。

Linuxカーネルにおいて、以下の脆弱性が修正されました。dm_cacheのdestroy()関数内に存在していたUse-After-Free（UAF）の問題を修正しました。また、dm_cacheはdm_resume()とdm_destroy()が同時に実行される場合にも同様のUAF問題がありました。そこで、destroy()関数内でタイマーを再度キャンセルする処理を追加しました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。Bluetoothにおけるsco_sock_timeoutによって引き起こされるuse-after-freeのバグを修正しました。sco接続が確立された後、scoソケットが解放されるとtimeout_workがスケジュールされ、scoの切断がタイムアウトかどうかを判断します。ソケットは後で解放されますが、sco_sock_timeout内で再び参照されます。その結果、use-after-freeのバグが発生します。根本的な原因は、CleanupスレッドとWorkerスレッド間での操作により、sco_sock_release - sco_sock_close - __sco_sock_close - sco_sock_set_timer - schedule_delayed_work、そしてsco_sock_killでsock_put(sk)が実行されメモリが解放される一方、Workerスレッドのsco_sock_timeoutでsock_hold(sk)が使用されることにあります。POCによってトリガーされたKASANレポートには、sco_sock_timeoutでのslab-use-after-freeの詳細なスタックトレースが示されています。解放済みの1024バイト領域の内部128バイトのアドレスに4バイトの書き込みが行われたことも報告されました。これにより、BluetoothのSCOソケットに関連するメモリ解放後の不正なアクセスによる脆弱性が判明し、今回修正されました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。tipcのエラーパスにおけるUse-After-Free（UAF）の問題です。Sam Page（sam4k）とTrend Micro Zero Day Initiativeによって報告されたtipc_buf_append()のエラーパスにおけるUAFは、KASANによりkfree_skb_list_reason関数内でのスラブ使用後解放（use-after-free）が検出されました。発生箇所はlinux/net/core/skbuff.cの1183行目です。この脆弱性はtask pocによってアドレスffff88804d2a7c80から8バイトの読み取りが行われた際に明らかになりました。トレースログに示されている通り、skbの解放処理（kfree_skb等）が錯綜し、エラー処理経路で既に解放されたメモリを参照していました。この脆弱性はtipcバッファのappend処理中に発生し、悪用されるとメモリ破壊やカーネルの予期しない挙動を引き起こす恐れがあります。修正はtipcのエラーパスにおいて適切なメモリ管理を行うことでUAFの発生を防止しています。

Linuxカーネルにおいて、以下の脆弱性が修正されました。tcp: tcp_twsk_unique()内でrefcount_inc_not_zero()を使用します。Anderson Nascimentoは、tcp_twsk_unique()におけるUse-after-freeの脆弱性を詳細な解析とともに報告しました。コミットec94c2696f0b（"tcp/dccp: timewaitハッシュダンスのための1回のアトミック操作を回避"）以降、inet_twsk_hashdance()はTIME-WAITソケットをehashに入れ、バケットロックを解放した後にsk_refcntを設定しています。したがって、connect()中に他のスレッドがポートの再利用を試み、refcntが0のTIME-WAITソケットに対してtcp_twsk_unique()内でsock_hold()を呼び出す可能性がある小さな競合状態があります。もしそれが発生すると、tcp_twsk_unique()で取得したrefcntが上書きされ、sock_put()がアンダーフローを引き起こし、他の場所で実際のUse-after-freeを誘発します。Use-after-freeを避けるために、tcp_twsk_unique()内でrefcount_inc_not_zero()を使用し、falseを返した場合はポートの再利用を諦める必要があります。[0]: refcount_t: 0への加算によるuse-after-freeが発生します。警告: CPU: 0 PID: 1039313 at lib/refcount.c:25 refcount_warn_saturate+0xe5/0x110 CPU: 0 PID: 1039313 コマンド: trigger このカーネルは未改造ではありません。バージョンは6.8.6-200.fc39.x86_64 #1です。ハードウェア名はVMware, Inc. VMware20,1/440BX Desktop Reference Platformで、BIOSはVMW201.00V.21805430.B64.2305221830（2023年5月22日）です。RIPは0010:refcount_warn_saturate+0xe5/0x110です。以下は省略し、詳細なコールトレース等があります。

Linuxカーネルにおいて、以下の脆弱性が修正されました。xfrmのdecode_session6におけるスラブ使用後解放（use-after-free）の問題です。xfrmデバイスがsfbタイプのqdiscに設定されている場合、送信されたskbのcbフィールドがエンキュー中に変更されることがあります。これにより、xfrmデバイスがIPv6パケットを送信する際にスラブ使用後解放が発生する可能性があります。以下に関連するスタック情報の一部を示します。BUG: KASAN: decode_session6でのスラブ使用後解放です。呼び出しトレースが示すように、decode_session6は元々受信パスのために設計されており、送信中はIP6CB(skb)-nhoffが設定されません。そのため、パケット送信前にskbのcbフィールドを0に設定する修正が加えられました。コミットf855691975bb（"xfrm6: Fix the nexthdr offset in _decode_session6."）によりこの問題が明確にされ、この修正によって送信時に発生するuse-after-freeのリスクが軽減されています。

Linuxカーネルにおいて、以下の脆弱性が修正されました。RDMA/bnxt_reに関しては、UAFを回避するためにib_device_unalloc()の呼び出し順序を適切に修正しました。ib_dealloc_device()はデバイスのクリーンアップ後にのみ呼び出される必要があります。解放シーケンスを修正しました。

Linuxカーネルにおける脆弱性が修正されました。__mark_inode_dirty()関数でのuse-after-freeの問題は、inodeのスピンロックを適切に保持することで解決されました。これにより、書き込みバックの競合状態が防止され、システムの安定性とセキュリティが向上しました。

IPCコンポーネントにおけるUse-after-freeの脆弱性です。この脆弱性はFirefox 147未満、Firefox ESR 115.32未満、Firefox ESR 140.7未満、Thunderbird 147未満、およびThunderbird 140.7未満に影響します。

Linuxカーネルのdrm/msmドライバにおいて、プローブ遅延によるuse-after-freeの脆弱性が修正されました。この問題は、DRMデバイスの解体時にブリッジカウンターがリセットされなかったため、次回の解体時に古いポインタへアクセスしてしまったことに起因しています。この脆弱性により、範囲外のデータが破損する可能性がありました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。cnicのcnic_delete_taskにおけるuse-after-freeバグを修正しました。元のコードでは、cnic_cm_stop_bnx2x_hw()内でcancel_delayed_work()が使用されており、遅延ワークアイテムである'delete_task'がすでに実行中の場合、その完了が保証されていませんでした。さらに、その遅延ワークアイテムは周期的であり、cnic_cm_stop_bnx2x_hw()内のflush_workqueue()は呼び出し前にキューに入れられたワークアイテムのみを待機します。flush_workqueue()呼び出し後にキューに追加されたワークアイテムは待機対象に含まれません。つまり、周期的なワークアイテムの実行が終了した後でも、workqueueに遅延ワークアイテムが存在する可能性があります。これにより、cnic_free_dev()によってcnic_devが解放された後でもdelete_taskがアクティブなままでcnic_delete_task()内でcnic_devを参照しようとしてuse-after-freeの状況が発生します。典型的な競合状態は以下の通りです。CPU0（クリーンアップ）ではcnic_netdev_event() - cnic_stop_hw() - cnic_cm_stop_bnx2x_hw() - cancel_delayed_work() - flush_workqueue() - cnic_free_dev(dev)が実行され、cnic_devが解放されます。一方、CPU1（遅延ワークコールバック）ではcnic_delete_task()がflush_workqueue()の後にqueue_delayed_work()を実行し、新しいdelete_taskインスタンスがdevを使用します。cancel_delayed_work()をcancel_delayed_work_sync()に置き換えることで、周期的な遅延ワークアイテムが適切にキャンセルされ、ワークアイテムの実行が完了するまで待機した後にcnic_devが解放されるようになりました。さらにcancel_delayed_work_sync()は__flush_work(work, true)を使用して現在実行中のワークアイテムの完了を同期的に待つため、flush_workqueue()は冗長となり削除されるべきです。このバグは静的解析により特定されました。再現および修正検証のために、QEMU上でcnic PCIデバイスをシミュレートし、cnic_delete_task()内にssleep()を挿入するなど意図的な遅延を加えてバグ発生の可能性を高めました。

Linuxカーネルにおいて、次の脆弱性が修正されました：virtio_umlのprobe内でのput_device後に発生するuse-after-freeの問題を修正しました。virtio_uml_probe()内でregister_virtio_device()が失敗した場合、デバイスが正常に登録されなかったにもかかわらず、コードはvu_dev-registeredを1に設定していました。これにより、use-after-freeやその他の問題が発生する可能性がありました。

Juniper Networks Junos OSおよびJuniper Networks Junos OS Evolvedのルーティングプロトコルデーモン(rpd)にはUse After Freeの脆弱性が存在し、攻撃者が特定の不正なAS PATHを含むBGPアップデートを送信すると、rpdがクラッシュしてサービス拒否(DoS)が引き起こされる可能性があります。不正なAS PATH属性を継続的に受信することで、持続的なDoS状態が発生します。すべてのJunos OSおよびJunos OS Evolvedプラットフォームでは、BGPアップデート内で特定の不正なAS PATHが受信され、traceoptionsが有効である場合にrpdプロセスがクラッシュし再起動します。この問題はBGP traceoptionsが有効なシステムにのみ影響し、すでにBGPセッションが確立されている必要があります。BGP traceoptionsが無効なシステムには影響しません。この問題の影響を受けるバージョンは以下の通りです。Junos OS: 21.2R3-S9より前のすべてのバージョン、21.4のすべてのバージョン、22.2の22.2R3-S6より前、22.4の22.4R3-S5より前、23.2の23.2R2-S3より前、23.4の23.4R2-S4より前、24.2の24.2R2より前。Junos OS Evolved: 22.4R3-S5-EVOより前のすべてのバージョン、23.2-EVOの23.2R2-S3-EVOより前、23.4-EVOの23.4R2-S4-EVOより前、24.2-EVOの24.2R2-EVOより前。これにより、サービス拒否が発生するリスクがあります。

Juniper NetworksのJunos OSおよびJunos OS Evolvedの802.1X認証デーモン(dot1xd)に、Use After Freeの脆弱性が特定されました。この脆弱性により、認証済みでネットワークに隣接した攻撃者がポートをフラップさせることでdot1xdプロセスをクラッシュさせ、サービス拒否(DoS)を引き起こすか、またはroot権限で実行されているプロセスのコンテキスト内で任意のコードを実行する可能性があります。問題はポートのバウンスが発生した際の認可変更(CoA)の処理に特有で、ポインタが解放された後に同じコードパス内で再参照される点に起因します。成功した攻撃は、この脆弱なコードパスを実行するために必要な2つのイベントのタイミングを特定できないため、攻撃者の直接制御外にあります。この問題は802.1X認証によるポートベースのネットワークアクセス制御(PNAC)が有効なシステムに影響を与えます。影響を受けるバージョンは以下の通りです。Junos OS: 23.2R2-S1から23.2R2-S5未満、23.4R2から23.4R2-S6未満、24.2から24.2R2-S3未満、24.4から24.4R2-S1未満、25.2から25.2R1-S2および25.2R2です。Junos OS Evolved: 23.2R2-S1から23.2R2-S5-EVO未満、23.4R2から23.4R2-S6-EVO未満、24.2から24.2R2-S3-EVO未満、24.4から24.4R2-S1-EVO未満、25.2から25.2R1-S2-EVOおよび25.2R2-EVOです。

Linuxカーネルのkernfsサブシステムにおいて、__kernfs_remove関数内のuse-after-freeの脆弱性が修正されました。この脆弱性は、Syzkallerが同時にkernfs_remove_by_name_ns()を呼び出すことで発生し、KASANによって検出されました。競合状態により、kernfs_drain()の実行中にルートノードが解放されて不正なメモリアクセスが発生していました。この問題に対処するため、削除されるツリーのルートに対して__kernfs_remove()を呼び出す前に追加の参照カウントを取得するように修正されました。

Linuxカーネルにおいて、次の脆弱性が修正されました。efi: ssdtに関して、ACPIテーブルが正常にロードされた場合はメモリを解放しないように修正されました。Amadeuszは、コミット3881ee0b1edc（"efi: avoid efivars layer when loading SSDTs from variables"）によって導入されたKASANのuse-after-freeエラーを報告しました。この問題は、新しいACPIテーブルを保持するメモリが、ACPIコアがテーブルのロード失敗を報告した場合のみならず、無条件に解放されていたことに起因しています。そこで、成功時にはkfree()を省略することでこの問題を修正しました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。cxl/acpiのcxl_parse_cfmws()関数におけるuse-after-freeの問題が修正されています。KASANおよびKFENCEによってCXLドライバー内でのuse-after-freeが検出されました。この問題はcxl_decoder_add()の失敗パスで発生します。KASANは以下のエラーを出力します。BUG: KASAN: slab-use-after-free in cxl_parse_cfmws (drivers/cxl/acpi.c:299)。この問題はcxl_parse_cfmws()関数内で、put_device()が呼ばれてcxldの解放が行われた後に、そのメモリへアクセスしてしまうことにより発生します。dev_err()内で解放されたメモリを指すのではなく、ローカル変数を使用するように変更しました。dev_err()はリソースの情報を出力しているため、固定コードの出力フォーマットを%pr形式の指定子を使うように変更しました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。libのcpu_rmapに関するrmap->obj配列のエントリで解放後使用を回避するための修正です。irq_set_affinity_notifier()をnotify引数にNULLで呼び出すと、対応する配列エントリのglueポインタは解放されますが、配列内のポインタはそのまま残ります。その後、free_irq_cpu_rmap()を呼び出すと、このエントリを再度解放しようとし、解放後使用につながる可能性があります。これを修正するために、配列のエントリをNULLに設定し、free_irq_cpu_rmap()で配列を走査する際にエントリが非ゼロであることを確認するようにしました。現行コードでは、irq_set_affinity_notifier(irq, NULL)（notify引数にNULLが渡される）呼び出し後にfree_irq_cpu_rmap()が呼ばれるケースが存在しないため、この問題は発生していません。ですが、このシリーズの後続パッチでこのフローが利用されるため、修正が必要になりました。

GIMPのXCFファイル解析におけるUse-After-Freeのリモートコード実行脆弱性があります。この脆弱性により、リモートの攻撃者が影響を受けるGIMPのインストール環境で任意のコードを実行可能です。悪用するためにはユーザーの操作が必要であり、対象ユーザーが悪意のあるページを訪問するか悪意のあるファイルを開く必要があります。具体的な欠陥はXCFファイルの解析部分に存在します。この問題は、オブジェクトに対する操作を行う前にオブジェクトの存在を検証しないことが原因です。攻撃者はこの脆弱性を利用して、現在のプロセスのコンテキストでコードを実行できます。この脆弱性は元々ZDI-CAN-28376として報告されました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。Bluetoothのl2cap_sock_cleanup_listen()におけるUse-After-Freeの問題を修正しました。syzbotが再現手段なしに以下のsplatを報告しました。splatでは、bt_accept_dequeue()を呼び出した単一スレッドがskを解放し、その後にアクセスしていました。根本原因は、該当コミットで追加された競合状態のあるl2cap_sock_cleanup_listen()の呼び出しだと考えられます。bt_accept_dequeue()はlock_sock()のもとで呼び出されますが、l2cap_sock_release()は例外です。二つのスレッドがbt_accept_dequeue()内のリストイテレーション中に同一のソケットを参照する可能性があります。CPU1ではsock_hold(sk)を行いlock_sock(sk)でclose()をブロックし、sock_put(sk)、bt_accept_unlink(sk)、sock_put(sk)、release_sock(sk)と進みます。一方、CPU2はlock_sock(sk)、sock_put(sk)、bt_accept_unlink(sk)、sock_put(sk)（最後の参照カウント）、bt_accept_unlink(sk)（Use-After-Free）へと進行します。タイミングによっては別のスレッドが"Freed by task"部分に現れることがあります。l2cap_sock_release()内のl2cap_sock_cleanup_listen()をlock_sock()の内部で呼び出すことで対処しています。具体的には、KASANによるUse-After-Free検出のトレースが示されており、spinlock_debug.cやnet/bluetooth関連ファイルの関数呼び出し順で問題が発生していました。これにより、BluetoothのL2CAPソケットのクリーンアップ処理中にUse-After-Free脆弱性が生じる問題を修正し、競合状態を防止するためのロック制御を強化しました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。wifi: cfg80211のcmp_bss()に存在していたuse-after-freeの問題が修正されました。コミット776b3580178f（「cfg80211: 隠しSSIDネットワークを適切に追跡」）に導入されたbss_free()の特殊処理に続いて、cfg80211_update_known_bss()が調整され、対応する「hidden_beacon_bss」ポインタを介して共有されていない場合にのみ、最後のビーコンフレーム要素を解放するようにしました。

Linuxカーネルに存在した脆弱性について、xilinx_canドライバのxcan_write_frame()関数が送信済みのSKBを解放後に誤って使用してしまうuse-after-free問題が修正されました。具体的には、can_put_echo_skb()はSKBの所有権を受け取りますが、呼び出し中やその後でSKBが解放されることがありました。一方で、xcan_write_frame()はその後もSKBを使用し続けていました。この問題は、SKBの操作を全て終えた後にcan_put_echo_skb()を呼び出すように修正することで解決されました。なお、tx_lockはxcan_write_frame()の全実行期間中およびcan_get_echo_skb()の両方で保持されているため、操作の順序による問題は発生しません。以前の修正コミットではcan_put_echo_skb()の呼び出し位置が十分に後ろに移動されていませんでした。以上の修正により、メモリの誤使用によるセキュリティリスクが排除されました。

Linuxカーネルのmm/damon/sysfsディレクトリにあるstate_show()関数にはuse-after-freeの脆弱性が存在しました。state_show()関数はdamon_sysfs_lockを保持せずにkdamond->damon_ctxを読み取るため、ctxが解放された後にアクセスされる競合状態が発生します。この問題はmutexロックの不適切な使用によるものであり、修正によりdamon_sysfs_lockを取得してからコンテキストを参照するように改善されました。この脆弱性は当該関数が初めてkdamond->damon_ctxにアクセスした時点から存在していました。

FreeRDPはリモートデスクトッププロトコルの無料実装です。3.20.1より前のバージョンでは、シリアルチャネルのIRPスレッドトラッキングにおける競合状態によって、一方のスレッドがserial->IrpThreadsからエントリを削除する際に、別のスレッドがそれを読み取ることでヒープの使用後解放(use-after-free)が発生します。この脆弱性は3.20.1で修正されました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。HID: mcp-2221に関する遅延ワークにおけるUse-After-Free（UAF）を防止するための対策です。デバイスがmcp_init_work()の完了を待たずに接続または切断された場合、devmの解放コードパスが実行され、その結果、遅延ワーク中に利用できなくなったstruct mcp_2221が参照される可能性があります。この問題は遅延ワークアイテムのキャンセルによって解決できます。cancel_delayed_work_syncを用いることで、ワークアイテムが自身で再キューされるのを防ぐことが可能です。

Linuxカーネルにおいて、以下の脆弱性が修正されました: crypto: xtsはEBUSYを正しく処理するようになりました。xtsは特別な戻り値であるEINPROGRESSのみを処理しており、それ以外の場合はすべてリクエストに関連するデータを解放していました。しかし、xtsの呼び出し元がMAY_BACKLOGを指定する可能性があるため、EBUSYも同様に扱う必要がありました。そうしなければ、バックログされたリクエストがuse-after-freeを引き起こしてしまいます。

Linuxカーネルにおいて、mm/debug_vm_pgtableのdestroy_args()関数がページテーブルエントリをクリアしない問題が修正されました。この問題により、古いページテーブルエントリが残存し、別のプロセスが同じアドレスにpgdを持つmm_structを割り当てた際に不整合が発生する可能性があります。CONFIG_DEBUG_VM_PGTABLEが有効な環境下でデバッグ出力が示すように、pgtables_bytesが負の値になるなどの異常が観測されました。modprobeプロセスがこの問題の影響を受ける可能性がありますが、mm_struct自体の割り当てには問題がありません。本脆弱性によってメモリ管理における不整合が生じるリスクがあります。

Linuxカーネルにおいて、以下の脆弱性が修正されました。HID: asusに関するHID_CLAIMED_INPUT検証を介したUse-After-Free（UAF）の問題を修正しました。hid_hw_start()呼び出し後、入力層でデバイスをセットアップするために最終的にhidinput_connect()が呼ばれます。これはHID_CONNECT_DEFAULT接続マスクが使用されるためです。hidinput_connect()の処理中に、すべての入力および出力レポートが処理され、対応するhid_inputsがhidinput_configure_usages()によって割り当ておよび設定されます。この処理は、レポートフィールドへのスロットタグ付けや機能ビットマップの関連ビット設定によるユースの設定を含みます。しかし、機能ビットマップがまったく設定されない可能性があり、その結果、hidinput_has_been_populated()チェックに失敗してhid_inputおよび基盤となる入力デバイスが解放されてしまいます。特に悪意のあるHIDデバイス、例えばASUS ROG N-Keyキーボードのようなデバイスは、特別に細工された記述子を介してこのシナリオを引き起こし、hid_hw_start()後に解放された入力デバイスの名前に書き込もうとする際にUse-After-Freeが発生します。以下に示すレポート93は意図的にHID_UP_UNDEFINED Usage Pageを利用しており、ユース設定中にスキップされ、これが解放を引き起こします。レポート記述子の抜粋は次の通りです：0x05, 0x0D, // Usage Page (Digitizer) 0x09, 0x05, // Usage (Touch Pad) 0xA1, 0x01, // Collection (Application) 0x85, 0x0D, // Report ID (13) 0x06, 0x00, 0xFF, // Usage Page (Vendor Defined 0xFF00) 0x09, 0xC5, // Usage (0xC5) 0x15, 0x00, // Logical Minimum (0) 0x26, 0xFF, 0x00, // Logical Maximum (255) 0x75, 0x08, // Report Size (8) 0x95, 0x04, // Report Count (4) 0xB1, 0x02, // Feature (Data,Var,Abs) 0x85, 0x5D, // Report ID (93) 0x06, 0x00, 0x00, // Usage Page (Undefined) 0x09, 0x01, // Usage (0x01) 0x15, 0x00, // Logical Minimum (0) 0x26, 0xFF, 0x00, // Logical Maximum (255) 0x75, 0x08, // Report Size (8) 0x95, 0x1B, // Report Count (27) 0x81, 0x02, // Input (Data,Var,Abs) 0xC0, // End Collection UAF発生後のKASANスプラット出力例は以下の通りです：[ 21.672709] ==================================================================[ 21.673700] BUG: KASAN: slab-use-after-free in asus_probe+0xeeb/0xf80[ 21.673700] Write of size 8 at addr ffff88810a0ac000 by task kworker/1:2/54[ 21.673700] CPU: 1 UID: 0 PID: 54 Comm: kworker/1:2 Not tainted 6.16.0-rc4-g9773391cf4dd-dirty #36 PREEMPT(voluntary)[ 21.673700] Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.16.2-debian-1.16.2-1 04/01/2014[ 21.673700] Call Trace:...（省略）... この脆弱性は、特にASUS ROG N-Keyキーボードのような悪意のあるHIDデバイスが不正なHIDレポート記述子を使うことでシステムのメモリ破壊を引き起こし、カーネルの不安定化やクラッシュを招く恐れがある問題です。

Linuxカーネルにおいて、以下の脆弱性が修正されました。net: rose: 'use'フィールドをrefcount_tに変換しました。struct rose_neighの'use'フィールドは参照カウンタとして使用されていましたが、原子性が欠如していました。このため、rose_neigh構造体が他のコードパスからまだ参照されているにもかかわらず解放される競合状態が発生する可能性がありました。例えば、rose_rt_ioctl()を介したioctl操作中にrose_neigh->useがゼロになると、構造体がそのタイマーがまだ有効な状態で削除され、use-after-freeの問題を引き起こす恐れがありました。このパッチでは'use'の型をunsigned shortからrefcount_tに変更し、すべてのコードパスでrose_neigh_hold()とrose_neigh_put()を使用して参照カウントを原子的に操作するように更新しています。

Linuxカーネルにおいて、以下の脆弱性が修正されました：kernfsでオープンされたファイルが解放された際のポーリングにおけるUse-After-Free（UAF）の問題を修正しました。PSI（Pressure Stall Information）監視メカニズムにてUse-After-Freeの脆弱性が確認されています。KASANの報告によると、psi_trigger_poll関数内で解放済みメモリの使用が発生していました。具体的には、epoll監視を使いcpu.pressureファイルをオープンした後、cgroup.pressureの監視を無効化（echo 0 > cgroup.pressure）すると、cgroup_file_release()によりPSIトリガーが解放され、kernfs_drain_open_files()で関連リソースが解放されます。一方で、epollは引き続きファイル参照を保持してポーリングを続け、再度監視を有効化（echo 1 > cgroup.pressure）した時に解放済みのメモリへアクセスする競合状態が発生します。この問題に対処するため、kernfsのオープンファイルに対してアクティブ参照を取得するkernfs_get_active_of()関数を導入しました。この関数は既にファイルが解放されている場合に失敗し、解放済みのファイルディスクリプタに対する操作を防ぎます。既存のkernfs_get_active()はkernfs_get_active_of()に置き換えられ、Use-After-Freeの発生防止に寄与します。

Windows Management Servicesに存在するUse after freeの脆弱性により、認可された攻撃者がローカルで権限を昇格させることが可能になる問題です。

Capability Access Management Service (camsvc)における不適切な同期により共有リソースの同時実行（レースコンディション）が発生し、認可された攻撃者がローカルで権限昇格を可能にします。

Linuxカーネルにおいて、以下の脆弱性が修正されました：drm/nouveauのnouveau_gem_prime_import_sg_table()関数におけるuse-after-freeの問題です。nouveau_bo_init()はttm_bo_init()に依存しており、その戻り値を呼び出し元に返します。失敗時にはttmがnouveau_bo_del_ttm()を呼び出してメモリを解放します。したがって、nouveau_bo_init()がエラーを返した場合、gemオブジェクトは既に解放されています。その後のnouveau_bo_ref()の呼び出しは解放済みの"nvbo->bo"を使用しており、use-after-freeバグを引き起こします。このuse-after-free問題を回避するために、nouveau_bo_ref()の呼び出しを削除する必要があります。

Linuxカーネルにおいて、以下の脆弱性が修正されました：HIDのmultitouchに関するhidinputのinput_dev nameのdevmデバイス参照を修正しました。input_dev nameのdevm割り当てはinputデバイスではなくHIDデバイスを参照する必要があります。もしinput_devを参照すると、input_devが登録解除された際にuse-after-freeが発生し、その後名前に依存するueventが発火します。ueventが発火される時点で名前はdevres管理によって解放されています。メモリ割り当てとinput_dev name文字列のフォーマットのロジックを簡素化するためにdevm_kasprintfを使用しています。

Capability Access Management Service (camsvc) における不適切な同期による共有リソースの同時実行（レースコンディション）が原因で、認可された攻撃者がローカル環境で特権を昇格させることが可能となる脆弱性です。

Windows DWMのUse after free脆弱性により、認可された攻撃者がローカルで権限を昇格させることが可能となります。

WindowsクリップボードサーバーにおけるUse after freeの脆弱性により、不正な攻撃者がローカルで権限を昇格させることが可能です。

Windows ローカルセキュリティ機関サブシステムサービス(LSASS)におけるUse after freeの脆弱性により、権限を持つ攻撃者がネットワーク経由でコードを実行できる可能性があります。

Windows Management ServicesのUse after freeの脆弱性により、認証された攻撃者がローカルで権限を昇格させることが可能です。