脆弱性情報（JVN）検索・一覧

Substance3D - Stager バージョン 3.1.7 以前には Use After Free の脆弱性が存在し、この脆弱性により現在のユーザー権限で任意のコードを実行される可能性がありました。この問題を悪用するには、被害者が悪意のあるファイルを開く操作を行う必要があります。

Acrobat Readerのバージョン24.001.30307、24.001.30308、25.001.21265およびそれ以前のバージョンは、Use After Freeの脆弱性に影響を受けます。この脆弱性を悪用されると、現在のユーザーのコンテキストで任意のコードが実行される可能性があります。この問題を悪用するには、被害者が悪意のあるファイルを開くというユーザー操作が必要です。

Firefox 148.0.2 に存在する複数のメモリ安全性のバグについて説明します。これらのバグの中にはメモリ破損の証拠があり、十分な努力を払えば任意のコードが実行される可能性があります。この脆弱性は Firefox 148.0.2 未満のバージョンに影響を及ぼします。

PJSIPはC言語で書かれた無料かつオープンソースのマルチメディア通信ライブラリです。バージョン2.17より前のPJSIPには、存在登録解除（Expires=0のSUBSCRIBE）が行われる際にトリガーされる、PJSIPのイベント購読フレームワーク（evsub.c）におけるヒープのUse-After-Free脆弱性が存在していました。この問題はバージョン2.17で修正されています。

バッファリソースの割り当てと解放の間の不適切な同期が原因で、共有バッファに同時アクセスが発生するとメモリが破損します。

共有バッファに同時アクセスが発生した場合に、IOCTL呼び出しを実行するとメモリが破損する問題。

ユーザー空間からの異なるIOCTLコールを同時に処理する際にメモリが破損する問題です。

IOCTL呼び出し中に共有バッファへ同時アクセスが発生すると、メモリが破損する問題です。

IOCTL呼び出しを処理する際に、解放された後のバッファにアクセスすることでメモリ破損が発生します。

共有バッファへの同時アクセスが発生した場合、IOCTL呼び出しの処理中にメモリ破損が発生します。

Linuxカーネルにおいて、以下の脆弱性が修正されました。ksmbdでは、ksmbd_chann_listのxarrayを保護するためにchann_lockを追加しました。ksmbd_chann_listのxarrayには同期が欠如しており、マルチチャネルセッション（lookup_chann_list()とksmbd_chann_delの間）でuse-after-freeが発生する可能性がありました。struct ksmbd_sessionにrw_semaphoreであるchann_lockを追加し、すべてのxa_load、xa_store、xa_eraseアクセスを保護します。

Linuxカーネルにおいて、以下の脆弱性が修正されました。HID: uclogicのhidinputに関するinput_dev名前のdevmデバイス参照を修正しました。input_dev名前のdevm割り当てにおいて、inputデバイスではなくHIDデバイスを参照しています。input_devを参照すると、input_devが登録解除され、その後名前に依存するueventが発火した際にuse-after-freeが発生する可能性があります。ueventが発火する時点で、名前はdevres管理によって解放されてしまいます。メモリの割り当ておよびinput_dev名前文字列のフォーマットのロジックを簡素化するためにdevm_kasprintfを使用しています。

Linuxカーネルにおいて、tls: get_netdev_for_sock()関数内で__sk_dst_get()およびdst_dev_rcu()を使用するように変更されました。get_netdev_for_sock()はsetsockopt()の実行中に呼び出され、RCU下ではないため、sk_dst_get(sk)-devの使用はUse-After-Free（UAF）を引き起こす可能性があります。そのため、__sk_dst_get()とdst_dev_rcu()の使用に置き換えられました。唯一のndo_sk_get_lower_dev()の利用者はRCUを使用するbond_sk_get_lower_dev()です。

Linuxカーネルにおいて、以下の脆弱性が修正されました。ksmbdにおいて、高い同時実行時に切断パスでツリー接続オブジェクト（tcon）が解放される一方で、別のパスがその参照を保持し続けます。そのため、その後*_put()/writeを実行するとuse-after-freeの問題が発生します。この問題はksmbd_tree_connect_putで修正されました。

Linuxカーネルにおいて、以下の脆弱性が修正されました：btrfsのbtrfs_get_or_create_delayed_node()関数に存在したUse-After-Freeの問題です。以前、この関数はroot-delayed_nodesロックを取得する前にdelayed_nodeのrefcountを設定していました。コミットe8513c012de7（"btrfs: implement ref_tracker for delayed_nodes"）では、refcount_setをクリティカルセクション内に移動し、refcount設定とbtrfs_inode-delayed_node設定の間にメモリバリアがなくなりました。そのため、node-refsとbtrfs_inode-delayed_nodeへの書き込みが順序通りに可視化されない可能性がありました。別スレッドがbtrfs_inode-delayed_nodeを読み込み、まだ設定されていないrefcountをインクリメントしようとすると、refcountの不具合とUse-After-Freeの問題が発生しました。この問題を修正するため、refcount_setを元の位置に戻し、ロック取得によって提供される暗黙のメモリバリアを利用するようにしました。また、割り当てがロックのクリティカルセクション外で行われるため、GFP_ATOMICではなくGFP_NOFSを使用できるようにしました。

LinuxカーネルのTegra ADMAドライバには、XRUN状態でオーディオストリームが終了する際にuse-after-freeの脆弱性が存在します。この問題は、DMAバッファが解放された後に完了タスクレットが既に解放されたメモリへアクセスすることによって発生します。修正では、vchanの完了処理の同期を改善し、ディスクリプタの誤った解放を防止しています。これにより、メモリ使用後の解放による不正アクセスが解消されます。

Linuxカーネルにおいて、以下の脆弱性が修正されました。nfsdのv4_end_graceに関するロックの問題です。v4_end_graceへの書き込みはサーバーのシャットダウンと競合し、特にreclaim_str_hashtbl内で解放後のメモリにアクセスする可能性があります。nfsd_mutexをnfsd4_end_grace()呼び出し中に保持できない理由は、client_tracking_op-init()の呼び出し中にnfsd_mutexが保持され、この操作がnfsdcltrackへのアップコールを待つことがあり、これがv4_end_graceへの書き込みを引き起こす可能性があり、デッドロックを発生させるためです。nfsd4_end_grace()はランドロマットのワークキューからも呼ばれますが、サーバーのシャットダウンはワークを停止し、それを待機してからnfsd4_end_grace()がアクセスする可能性のあるリソースを解放します。そのため、この場合はロックを必要としません。しかし、シャットダウンがワークの待機を既に行った後に、v4_end_graceへの書き込みがワークアイテムを再起動しないことを保証する必要があります。これを実現するために、nn-client_lockで保護された新しいフラグを追加しました。このフラグはクライアントトラッキングコールを安全に行える間のみセットされ、v4_end_graceはこのフラグがセットされ、スピンロック保持中にのみワークをスケジュールします。したがって、このパッチはnfsd_net構造体に「client_tracking_active」フィールドを追加し、前述の通り設定します。さらに「grace_end_forced」という別のフィールドがv4_end_graceが書き込まれた際にセットされます。このフラグがセットされ、かつclient_tracking_activeがセットされている場合、ランドロマットがスケジュールされます。「grace_end_forced」フィールドは猶予期間が終了したかどうかの他のチェックをバイパスします。これにより、use-after-freeによる競合状態が解決されます。

Linuxカーネルにおいて、以下の脆弱性が修正されました。ublkのublk_partition_scan_workにおけるUse-After-Freeの問題を修正しました。非同期のパーティションスキャン作業とデバイスの停止処理の間に競合状態が存在し、ub-ub_diskのUse-After-Freeが発生する可能性がありました。手順は以下のとおりです。1. ublk_ctrl_start_dev()はadd_disk()の後にpartition_scan_workをスケジュールします。2. ublk_stop_dev()はublk_stop_dev_unlocked()を呼び出し、そこでdel_gendisk(ub-ub_disk)を実行し、ub-ub_diskはublk_detach_disk()によりNULLに設定されます。その後、put_disk()によってディスクが解放される可能性があります。3. ワーカーであるublk_partition_scan_work()がその後にub-ub_diskを参照し、Use-After-Freeが発生します。この問題は、パーティションスキャン中にディスクへの参照を保持するために、ワーカー内でublk_get_disk()とublk_put_disk()を使用することで修正されました。ublk_get_disk()のスピンロックはublk_detach_disk()と同期し、ワーカーが有効な参照を取得するかNULLを検出して早期に終了することを保証します。また、flush_work()をcancel_work_sync()に変更し、ディスクが既に切り離されている場合にパーティションスキャン作業の不必要な実行を回避しています。

FreeRDPはリモートデスクトッププロトコルの無料実装です。バージョン3.23.0以前では、`xf_rail_server_local_move_size`が解放された`xfAppWindow`ポインタを参照してしまう問題がありました。これは、`xf_rail_get_window`が`railWindows`ハッシュテーブルから保護されていないポインタを返すためであり、メインスレッドがRAILチャネルスレッドがポインタを使用している間に（ウィンドウの削除命令によって）同時にウィンドウを削除できてしまうことが原因です。バージョン3.23.0でこの問題は修正されています。

FreeRDPはリモートデスクトッププロトコルの無料実装です。バージョン3.23.0以前では、タイトル割り当てに失敗した際に`xf_rail_window_common`が`railWindows`ハッシュテーブルからエントリを先に削除せずに`free(appWindow)`を呼び出していました。そのため、`HashTable_Free`クリーンアップ中に解放済みの`xfAppWindow`ポインタを`rail_window_free`が参照し、切れたポインタが切断時に再度解放される問題が発生していました。この脆弱性はバージョン3.23.0で修正されています。

FreeRDPはリモートデスクトッププロトコルの無償実装です。バージョン3.23.0以前では、ヒープ使用後解放の修正が不完全でした。SDL2実装では解放後にポインタがヌルに設定されず、これにより脆弱性が残っていました。修正はSDL3のコードパスのみに適用されており、SDL2を使用し続けている環境では脆弱性のあるロジックが存在する可能性があります。完全な修正はバージョン3.23.0で提供されています。

ckolivas lrzip 0.651までに脆弱性が発見されました。この脆弱性はファイル stream.c の関数 lzma_decompress_buf に影響します。操作を行うと use after free が発生します。攻撃はローカルから実施する必要があります。エクスプロイトは公開されており、悪用される可能性があります。プロジェクトには問題が早期に問題報告を通じて通知されましたが、まだ対応が完了していません。