脆弱性情報（JVN）検索・一覧

メモリポインタの不適切な処理により、グラフィックス処理ユニットのメモリバッファを解放する際にメモリ破損が発生します。

ユーザー空間のアドレスが変更され、mem_free API に渡される際にメモリ破損が発生し、その結果カーネルメモリが誤って解放されます。

Microsoft Graphics ComponentのUse after freeの脆弱性により、権限を持つ攻撃者がローカルで権限を昇格させることが可能です。

Windows Subsystem for Linuxにおける共有リソースの不適切な同期（『競合状態』）を利用した同時実行により、認可された攻撃者がローカルで権限を昇格させることが可能です。

Windows Ancillary Function Driver for WinSockにおけるUse after freeの脆弱性により、認可された攻撃者がローカルで権限を昇格させることが可能となります。

Linuxカーネルにおいて、リングバッファの破棄前にIRQの同期処理が適切に行われない問題が修正されました。この問題はARCH=um環境のタイムトラベル中に発生し、リングバッファ破棄直前にIRQ処理が実行されることで使用後のメモリ参照（use-after-free）が生じ、KASANレポートやクラッシュを引き起こす可能性がありました。この脆弱性はirq_work_sync()の追加により修正されており、バッファ破棄前に必ず同期処理が完了するように改善されています。過去にはグローバルIRQワークが1つしか存在しなかったため、この問題は発生しませんでした。

Open Asset Import Library Assimp 6.0.2 までにセキュリティ脆弱性が検出されました。この脆弱性の影響を受けるのは、ファイル /src/assimp/code/AssetLib/LWO/LWOMaterial.cpp 内の関数 Assimp::LWOImporter::FindUVChannels です。この操作により use after free（解放後使用）が発生します。攻撃はローカルで実行される必要があります。このエクスプロイトは公開されており、悪用される可能性があります。この問題および類似の欠陥は issue #6128 を通じて追跡され、対応されています。

FreeRDPはリモートデスクトッププロトコルの無料実装です。3.22.0より前のバージョンでは、video_timerが制御チャネル閉鎖後にクライアント通知を送信し、解放済みのコールバックを参照することで使用後解放（use after free）が発生する可能性がありました。この脆弱性は3.22.0で修正されました。

FreeRDPはリモートデスクトッププロトコルの無料実装です。3.22.0以前のバージョンでは、urb_select_interfaceがエラー時にデバイスのMS設定を解放することがありますが、その後のコードでそれを参照し続けるため、libusb_udev_select_interfaceで解放後に使用される脆弱性が発生します。この脆弱性は3.22.0で修正されました。

FreeRDPはリモートデスクトッププロトコルの無料実装です。3.22.0以前のバージョンでは、AUDINフォーマットの再交渉時にアクティブなフォーマットリストを解放する際、キャプチャスレッドが引き続きaudin-formatを使用していたため、audio_format_compatibleで使用後解放（use after free）が発生しました。この脆弱性は3.22.0で修正されました。

FreeRDPはリモートデスクトッププロトコルの無料実装です。バージョン3.22.0以前では、キャプチャスレッドがデバイスチャネルのクローズ後に解放されたチャネルコールバックを使用してサンプルレスポンスを送信し、その結果ecam_channel_writeでuse after freeが発生します。この脆弱性はバージョン3.22.0で修正されました。

FreeRDPはリモートデスクトッププロトコルの無料実装です。バージョン3.22.0より前では、sdl_Pointer_Newが失敗した場合にデータを解放し、その後pointer_freeがsdl_Pointer_Freeを呼び出して再度解放したため、ASanのUse-After-Free（UAF）脆弱性を引き起こしていました。この脆弱性は3.22.0で修正されました。

FreeRDPはリモートデスクトッププロトコルの無料実装です。バージョン3.22.0以前では、URBDRCチャネルのクローズ後に、非同期バルク転送の完了処理で解放されたチャネルコールバックを使用する可能性があり、urb_write_completionでのuse after freeが発生します。この脆弱性はバージョン3.22.0で修正されました。

FreeRDPはリモートデスクトッププロトコルの無料実装です。ainput_send_input_event関数はchannel_callbackをローカル変数にキャッシュし、その後同期なしで使用します。これにより、チャネルが同時に閉じられた場合にコールバックが解放または再初期化され、解放後に使用される（Use After Free）可能性があります。この問題はバージョン3.22.0以前に影響し、脆弱性はバージョン3.22.0で修正されました。

FreeRDPはリモートデスクトッププロトコルの無料実装です。3.22.0より前のバージョンでは、RDPSNDの非同期再生スレッドがチャネルが閉じられ内部状態が解放された後もキューに入ったPDUを処理できるため、rdpsnd_treat_waveでUse After Freeの脆弱性が発生します。この脆弱性は3.22.0で修正されました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。blk-cryptoのblk_crypto_evict_key()関数をより堅牢にしました。blk_crypto_evict_key()は、キーがまだ使用中であるか（バグが原因で）keyslot_evictが失敗した場合、現在は単に戻り値を返しつつキーはkeyslot管理構造にリンクされたままになっています。しかし、blk_crypto_evict_key()はinodeの削除など失敗が許されないコンテキストでのみ呼び出されているため、実際には呼び出し元がblk_crypto_evict_key()の戻り値にかかわらずblk_crypto_keyの解放を進めます。これら二つの想定が一致せず、その結果、これらのエラーのいずれかが発生した後にblk_crypto_reprogram_all_keys()でuse-after-freeが起こる可能性があります（これらのエラーは本来発生しないはずですが、万が一発生した場合の問題です）。この問題を修正するために、blk_crypto_evict_key()が失敗時でもキーをkeyslot管理構造からリンク解除するようにしました。また、一部のコメントも改善しました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。f2fsでは、キャッシュされたIPU bioに対するuse-after-freeを回避するための修正が行われました。xfstest generic/019で以下のバグが報告されました。kernel BUG at mm/filemap.c:1619! RIP: 0010:folio_end_writeback+0x8a/0x90 コールトレース: end_page_writeback+0x1c/0x60 f2fs_write_end_io+0x199/0x420 bio_endio+0x104/0x180 submit_bio_noacct+0xa5/0x510 submit_bio+0x48/0x80 f2fs_submit_write_bio+0x35/0x300 f2fs_submit_merged_ipu_write+0x2a0/0x2b0 f2fs_write_single_data_page+0x838/0x8b0 f2fs_write_cache_pages+0x379/0xa30 f2fs_write_data_pages+0x30c/0x340 do_writepages+0xd8/0x1b0 __writeback_single_inode+0x44/0x370 writeback_sb_inodes+0x233/0x4d0 __writeback_inodes_wb+0x56/0xf0 wb_writeback+0x1dd/0x2d0 wb_workfn+0x367/0x4a0 process_one_work+0x21d/0x430 worker_thread+0x4e/0x3c0 kthread+0x103/0x130 ret_from_fork+0x2c/0x50。根本原因は、cp_errorが設定された後に、f2fs_write_single_data_page() 内の f2fs_submit_merged_ipu_write() がキャッシュされたIPU bioのフラッシュを試みることです。しかし、f2fs_submit_merged_ipu_write() は @bio パラメータの有効性チェックを見逃しており、他の IO コンテキストに属するランダムなキャッシュ済み bio の送信を引き起こします。その結果、use-after-free の問題が発生します。本問題は、追加の有効性チェックを加えることで修正されました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。clk: imx: scuにおいて、解放後使用を回避するために_safeリストイテレーターを使用しました。このループは"clk"を解放するため、list_for_each_entry_safe()を使用する必要があります。そうしないと、解放された変数を逆参照してループの次のアイテムを取得してしまいます。

Linuxカーネルにおいて、以下の脆弱性が修正されました。nilfs2のnilfs_segctor_thread()内にあるstruct nilfs_sc_infoの潜在的なUse-After-Free（UAF）問題を修正しました。nilfs_segctor_thread()の終了処理は、そのスレッドを終了させるnilfs_segctor_kill_thread()と競合し、KASANにより検出されたUse-After-Freeバグが発生する可能性があります。nilfs_segctor_thread()の終了時に、スレッドが終了したことを示すために、struct nilfs_sc_infoのメンバーである"sc_task"にNULLを代入し、その後waitqueueである"sc_wait_task"を使用してnilfs_segctor_kill_thread()に通知します。しかし、ここで"sc_task"にNULLを代入した直後にnilfs_segctor_kill_thread()がこれを検出し、解放処理を継続してnilfs_sc_info構造体をスレッドの通知前に解放してしまう可能性がありました。この問題は、struct nilfs_sc_infoのスピンロック"sc_state_lock"を使用して、"sc_task"へのNULL代入と通知処理を保護することで修正されました。nilfs_segctor_kill_thread()は"sc_state_lock"がロックされた状態で"sc_task"がNULLかどうかの最終チェックを行うため、このレースコンディションを排除できます。

Linuxカーネルにおいて、以下の脆弱性が修正されました：dax_mapping_release() の解放後使用エラーの修正です。CONFIG_DEBUG_KOBJECT_RELEASE を有効にして device-dax リージョンプロバイダ（例：modprobe -r dax_hmem）を削除すると、以下のような動作になります：kobject: 'mapping0' (ffff93eb460e8800): kobject_release、親 0000000000000000 (遅延 2000) [...] DEBUG_LOCKS_WARN_ON(1) WARNING: CPU: 23 PID: 282 at kernel/locking/lockdep.c:232 __lock_acquire+0x9fc/0x2260 [...] RIP: 0010:__lock_acquire+0x9fc/0x2260 [...] コールトレース: TASK [...] lock_acquire+0xd4/0x2c0 ? ida_free+0x62/0x130 _raw_spin_lock_irqsave+0x47/0x70 ? ida_free+0x62/0x130 ida_free+0x62/0x130 dax_mapping_release+0x1f/0x30 device_release+0x36/0x90 kobject_delayed_cleanup+0x46/0x150。この問題は、すでに解放されたidaオブジェクトに対してida_free()を試みたために発生しました。デバイスは通常、登録されている間のみ親への参照を保持します。子が解放を完了するために親オブジェクトを必要とする場合は、解放コールバックからドロップする参照を保持しなければなりません。dax_mapping_release() が呼ばれるまで、dax_mappingが親のdev_daxインスタンスをピン留めするように調整してください。

Linuxカーネルにおいて、以下の脆弱性が修正されました。netfilterのconntrackに関するnf_ct_helper_hashのUse-After-Freeを回避しています。nf_conntrack_init_start()が失敗した場合（例えばregister_nf_conntrack_bpf()の失敗による）、nf_conntrack_helper_fini()のクリーンアップパスでnf_ct_helper_hashマップが解放されます。NF_CONNTRACK=yでビルドされた場合、他のnetfilterモジュール（例：netfilter_conntrack_ftp）が依然としてロードされ、nf_conntrackが正しく初期化されているかに関わらずnf_conntrack_helpers_register()を呼び出すことが可能です。これによりnf_ct_helper_hashのダングリングポインタにアクセスしてUse-After-Freeが発生し、ランダムなメモリ破損を引き起こす可能性があります。このパッチは、解放済みまたは未初期化のnf_ct_helper_hashポインタにnf_conntrack_helper_register()がアクセスするのを防止し、conntrackモジュールのロード時に発生しうるUse-After-Freeを修正します。

Linuxカーネルにおいて、以下の脆弱性が修正されました：fs/ntfs3におけるデータランオフセットの検証強化です。この修正により、データランオフセットに対する整合性チェックが追加されました。データランオフセットが正当であることを確認せずに展開しようとすると、use-after-freeや予期しないメモリアクセスが発生する可能性があります。

Linuxカーネルのmediaサブシステムに存在する脆弱性が修正されました。この脆弱性はsi470xドライバのsi470x_int_in_callback()関数内にあるuse-after-freeの問題です。誤って解放されたメモリにアクセスする可能性があります。この問題は、si470x_start_usb()関数が失敗した場合にUSBリクエストブロック(URB)を停止せずに構造体を解放することで発生します。パッチでは失敗時にURBを適切に停止する処理が追加され、不正なメモリアクセスの問題を修正しました。

Linuxカーネルには、blk-mqにおいてキューの再初期化時にクワイエスしたエレベータースイッチを使用しないことによる脆弱性が存在しました。hctxのrun_workはハードウェアキューの再初期化時にエレベータースイッチと競合する可能性があります。この状況ではキューは単にフリーズされているだけで、リクエストの割り当てを防ぎますが、hctxのワークの実行は止まりません。その結果、ワークが解体されている可能性があるエレベーターポインタを取得し、use-after-freeエラーやカーネルパニックを引き起こす恐れがあります。本修正ではクワイエスしたエレベータースイッチを使用し、以前のものはstaticに変更しました。

cameraispにおいて、解放後使用の脆弱性により権限が昇格する可能性があります。これは、悪意のある攻撃者がすでにシステム権限を取得している場合に、ローカルでサービス拒否（DoS）を引き起こす可能性があります。エクスプロイトにはユーザーの操作は不要です。パッチIDはALPS10351676、問題IDはMSV-5737です。

Linuxカーネルにおいて、以下の脆弱性が修正されました：fs: dlm: midcomms_commitにおけるuse-after-freeの修正です。softirqコンテキストでdlmメッセージの処理を行っている際に、KASANのuse-after-free警告が検出されました。[ 151.760477] ==================================================================[ 151.761803] BUG: KASAN: dlm_midcomms_commit_mhandle+0x19d/0x4b0でのuse-after-freeが発生しました。[ 151.763414] タスクlock_torture/1347によるアドレスffff88811a980c60の4バイト読み取りがありました。[ 151.765284] CPU: 7 PID: 1347 Comm: lock_torture タイムスタンプ6.1.0-rc4+ #2828[ 151.766778] ハードウェア: Red Hat KVM/RHEL-AV, BIOS 1.16.0-3.module+el8.7.0+16134+e5908aa2 04/01/2014[ 151.768726] コールトレース:（省略）上記の問題は、dlmのmidcomms_commit機能によって解放されたメモリを使用していたことが原因です。この脆弱性は、ロックマネージメントの信頼性と安全性を損なう恐れがあります。修正により、解放後のメモリ使用が防止され、安定した動作が保証されます。

Linuxカーネルにおいて、以下の脆弱性が修正されました。clk: microchip: auxdevのリリースコールバックで潜在的なUse-After-Free（UAF）が発生する問題を修正しました。commit 1c11289b34ab（"peci: cpu: adev_release()におけるUse-After-Freeの修正"）と同様に、補助デバイスが正しい順序で破棄されていませんでした。auxiliary_device_add()が失敗した場合、リリースコールバックが2回呼び出されてUAFが発生します。タイミングの問題から、このドライバーのauxdevコードは前述のコミットから着想を得ており、そのため同様のバグも存在していました。auxiliary_device_uninit()を登録解除のコールバックに移動することで、この問題を回避しています。

Linuxカーネルにおいて、octeon_epドライバのプローブエラーパスでキューイングされたワークのキャンセルが適切に行われない脆弱性が修正されました。デバイスのMACアドレスの取得に失敗すると、octep_probe関数はキャンセルされない遅延ワークであるintr_poll_taskをキューに残したまま終了し、その後このワークが実行される際に解放後使用の問題が発生する可能性がありました。対策として、intr_poll_taskのキャンセル処理をoctep_removeからoctep_device_cleanupに移動し、これによりエラーパスでも適切にキャンセルされるようにしました。また、ctrl_mbox_taskのキャンセルはintr_poll_taskのキャンセル後に行う必要があることも修正しました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。ASoC:lpassにおけるKASANのuse-after-freeおよび境界外参照の問題を修正しました。syzkallerを実行すると、以下の境界外エラーが発生していました。"KASAN: slab-out-of-bounds Read in regcache_flat_read"という問題のバックトレースは以下の通りです。BUG: KASAN: slab-out-of-bounds in regcache_flat_read+0x10c/0x110 サイズ4の読み取りがアドレスfffffff8088fbf714でタスクsyz-executor.4/14144によって行われました。CPU: 6 PID: 14144 実行ファイル: syz-executor.4 Tainted: G W ハードウェア名: Qualcomm Technologies, Inc. sc7280 CRDプラットフォーム(rev5+)(DT) コールトレース: dump_backtrace+0x0/0x4ec show_stack+0x34/0x50 dump_stack_lvl+0xdc/0x11c print_address_description+0x30/0x2d8 kasan_report+0x178/0x1e4 __asan_report_load4_noabort+0x44/0x50 regcache_flat_read+0x10c/0x110 regcache_read+0xf8/0x5a0 _regmap_read+0x45c/0x86c _regmap_update_bits+0x128/0x290 regmap_update_bits_base+0xc0/0x15c snd_soc_component_update_bits+0xa8/0x22c snd_soc_component_write_field+0x68/0xd4 tx_macro_put_dec_enum+0x1d0/0x268 snd_ctl_elem_write+0x288/0x474 エラーチェックおよび有効な値の検証を行うことにより、この問題を修正しました。

Linuxカーネルにおいて、bpf_refcount_acquire関数が非所有参照に対して失敗を返す可能性がある問題が修正されました。この脆弱性は、bpf_rbtree_addおよびlist_push_frontやlist_push_back関数の失敗時の処理が非所有参照に対するbpf_refcount_acquireの仮定を破壊したことに起因します。具体的には、あるbpfノードの追加が失敗し、そのノードの参照カウントが0に達して解放されると、後続でbpf_refcount_acquireが0の参照カウントを増加させようとして不正な動作が発生する可能性がありました。この問題を受けて、bpf_refcount_acquireは参照カウントがゼロでない場合にのみインクリメントするように修正されました。また、所有参照に対してはこの失敗が発生しないことが検証され、関連するセルフテストも更新されています。この修正により、use-after-freeなどの潜在的なセキュリティ問題が防止されます。

Linuxカーネルにおいて、以下の脆弱性が修正されました。Bluetoothのhci_eventにおいて、connを削除する前に切断コールバックを呼び出すよう修正されました。hci_cs_disconnect関数内では切断が失敗してもhci_conn_delを実行していました。ISO、L2CAP、SCO接続はhci_conn_getを使用せずにhci_connを参照しているため、disconn_cfmを呼び出して接続をクリーンアップしなければ、use-after-freeが発生します。ISO接続では接続削除後にiso_sock_sendmsgでNULLポインタ参照によるカーネルパニックが発生していました。L2CAP接続でも、hci_send_acl呼び出し時にKASANによるuse-after-freeエラーが検出されました。本脆弱性はBluetooth接続の切断処理時にメモリ管理が不適切になる問題を引き起こし、その結果システムのクラッシュや不正動作が発生する可能性がありました。

Google Chrome 144.0.7559.59以前のANGLEにおけるUse after freeの脆弱性により、リモート攻撃者は細工されたHTMLページを介してヒープ破損を悪用する可能性がありました。

quickjs-ngおよびquickjsのバージョン0.11.0までに脆弱性が検出されました。影響を受けるのは、コンポーネントAtomics Ops Handlerのquickjs.cファイル内にある不明な関数です。この操作によりUse After Free脆弱性が発生します。攻撃はリモートで実行可能であり、エクスプロイトが既に公開されているため悪用される可能性があります。パッチはea3e9d77454e8fc9cb3ef3c504e9c16af5a80141として識別されており、この問題を解決するためにパッチの適用が推奨されます。

レイアウト：スクロールおよびオーバーフローコンポーネントにおいてUse-after-freeの脆弱性が存在します。この脆弱性はFirefoxのバージョン147.0.2未満に影響を及ぼします。