脆弱性情報（JVN）検索・一覧

Google Chrome 146.0.7680.153 未満のバージョンの WebRTC で Use after free の脆弱性が存在し、リモートの攻撃者が細工された HTML ページを介してヒープ破損を悪用できる可能性がありました。

Google Chromeのバージョン146.0.7680.153以前のBlinkにおけるUse after freeの脆弱性により、リモートの攻撃者が細工されたHTMLページを介してヒープ破損を悪用できる可能性がありました。

Google Chrome 146.0.7680.153より前のバージョンには、ネットワーク上でのUse after freeの脆弱性が存在し、リモートの攻撃者が細工されたHTMLページを介してヒープ破損を引き起こす可能性がありました。

Google Chrome 146.0.7680.153 未満のバージョンにおいて、Digital Credentials API の Use after free により、リモート攻撃者が細工された HTML ページを介してレンダラープロセスを侵害し、サンドボックスを脱出する可能性がありました。

Google Chromeの146.0.7680.153以前のバージョンの拡張機能におけるUse after freeの脆弱性により、攻撃者が悪意のある拡張機能をインストールするようユーザーを騙して、巧妙に作成されたChrome拡張機能を通じてヒープ破損を悪用する可能性がありました。この脆弱性は、Chromiumのセキュリティ評価で高リスクであると評価されています。

Linuxカーネルにおいて、以下の脆弱性が修正されました：net/schedにおいて、teqlはルートqdiscとしてのみ使用可能であることが強制されます。teqlの設計意図はルートqdiscとしてのみ使用されることであり、その制約をチェックする必要があります。重要度は高くありませんが、この問題を発見したシナリオを好奇心のある方のために説明します。GangMin Kim km.kim1503@gmail.com は以下のシナリオを作成しました。ルートqdisc 1:0 (QFQ) ├── クラス 1:1 (weight=15, lmax=16384) netem（遅延6.4秒） └── クラス 1:2 (weight=1, lmax=1514) teqlです。GangMinはパケットを送信し、それは1:1（netem）にエンクィューされます。QFQがこのクラスからdequeueを呼び出しても、6.4秒経過するまでパケットを返しません。その間に2つ目のパケットが送信され1:2に入ります。teqlのenqueueは成功を返し、それによってクラス1:2がアクティブになります。主な問題は、teqlが親の可視キュー長（sch-q.qlen）をdequeue時にのみ更新することにあります。QFQはpeekが成功したときにのみdequeueを呼び出します（teqlのpeekは常にNULLを返すため）、dequeueは呼び出されずqlenは常に0のままです。これにより、GangMinが1:2のlmax値を更新すると、qfq_change_classがqfq_deact_rm_from_aggを呼び出します。子qdiscのqlenが増加していなかったため、qfqはクラスの非アクティブ化に失敗しますが、それでもアグリゲートからのポインタは解放されます。したがって、最初のパケットが6.4秒後（netemの遅延後）に再スケジュールされる際に、不正なポインタがアクセスされ、GangMinにUAF（Use-After-Free）を引き起こします。

Linuxカーネルにおいて、以下の脆弱性が修正されました：macvlan: macvlan_common_newlink()のエラー復旧に関する修正です。valis氏がカーネルをクラッシュさせる良い再現手順を提供しました。手順は次のとおりです：ip link add p1 type veth peer p2、ip link set address 00:00:00:00:00:20 dev p1、ip link set up dev p1、ip link set up dev p2、ip link add mv0 link p2 type macvlan mode source、ip link add invalid% link p2 type macvlan mode source macaddr add 00:00:00:00:00:20、ping -c1 -I p1 1.2.3.4。また、非常に詳細な解析も提供されました。quote valis 問題は、新しいmacvlanリンクがMACVLAN_MODE_SOURCEモードおよびMACVLAN_MACADDR_ADD（またはMACVLAN_MACADDR_SET）パラメータで作成され、lowerデバイスにすでにmacvlanポートが存在し、macvlan_common_newlink()から呼び出されるregister_netdevice()が失敗した場合（例：無効なリンク名のため）に発生します。この場合、macvlan_change_sources()およびmacvlan_common_newlink()からmacvlan_hash_add_sourceが呼び出されます。これはmacvlan_source_entryを使ってポートのvlan_source_hashにvlanへの参照を追加します。vlanは作成中のリンクのprivデータを指すポインタです。register_netdevice()が失敗すると、そのエラーはmacvlan_newlink()からrtnl_newlink_create()に返されます。if (ops-newlink) err = ops-newlink(dev, &params, extack); else err = register_netdevice(dev); if (err 0) {free_netdev(dev); goto out;} そしてfree_netdev()が呼ばれ、lowerデバイスのmacvlanポートに付けられたsourceエントリでまだ参照されているstruct net_deviceに対してkvfree()が実行されます。その結果、該当するソースMACアドレスを持つmacvlanポート上で送信されるすべてのパケットはmacvlan_forward_source()においてuse-after-freeを引き起こします。/quote valis上記を踏まえ、私の修正では"goto destroy_macvlan_port;"パスが選択された際には@createの値に関係なくmacvlan_flush_sources()を必ず呼び出すようにしました。この問題をフォローアップしてくれたvalis氏に深く感謝しています。

Linuxカーネルにおいて、scsi: target: iscsi: iscsit_dec_conn_usage_count()内のUse-After-Freeの脆弱性が修正されました。iscsit_dec_conn_usage_count()関数はconn-conn_usage_lockを保持したままcomplete()を呼び出しますが、complete()の呼び出しにより待機中のスレッドが起動し、iscsit_conn構造体のメモリが解放される可能性があります。その結果、スレッドが解放されたメモリ内のロックを解放しようとしてKASANのスラブUse-After-Freeエラーが発生します。この問題は、complete()を呼び出す前にスピンロックを解放することで修正されました。

本脆弱性はLinuxカーネルのメモリ管理におけるmm/vmaサブシステムに存在し、mremap()システムコールの処理中にフォールト済みのVMAと非フォールトのVMAを誤ってマージすることで、anon_vmaの解放後に使用されるUse-After-Free（UAF）が発生する問題を修正したものです。本問題は特定のケースにおいてフォールト済みVMAが隣接する非フォールトVMAと不適切にマージされ、anon_vmaデータ構造の管理が不正になることで引き起こされます。この脆弱性はsyzbotによって報告され、複数のケース（前方、後方、両隣のVMAが非フォールトの場合）に対応した修正が行われました。また、マージ処理におけるanon_vmaの複製忘れに起因する問題も解決されており、セルフテストの追加によって修正内容の妥当性が検証されています。これにより、mremap()の範囲を変更する操作で生じる不整合を防止し、匿名メモリ管理の安全性が強化されました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。ALSAのusb-audioにおけるsnd_usb_mixer_free()のuse-after-freeの問題を修正しました。snd_usb_create_mixer()が失敗した場合、snd_usb_mixer_free()はmixer-id_elemsを解放しますが、既にカードに追加されているコントロールは解放されたメモリを参照し続けていました。その後、snd_card_register()が実行されると、OSSミキサーレイヤーがそれらのコールバックを呼び出し、use-after-freeの読み取りが発生していました。呼び出しトレースは次の通りです：get_ctl_value+0x63f/0x820(sound/usb/mixer.c:411)、get_min_max_with_quirks.isra.0+0x240/0x1f40(sound/usb/mixer.c:1241)、mixer_ctl_feature_info+0x26b/0x490(sound/usb/mixer.c:1381)、snd_mixer_oss_build_test+0x174/0x3a0(sound/core/oss/mixer_oss.c:887)、snd_card_register+0x4ed/0x6d0(sound/core/init.c:923)、usb_audio_probe+0x5ef/0x2a90(sound/usb/card.c:1025です。修正内容としては、id_elemsを解放する前にすべてのミキサーコントロールに対してsnd_ctl_remove()を呼び出すようにしました。snd_ctl_remove()は現在の要素を解放し、その際に次のポインタを先に保存します。

Linuxカーネルにおいて、以下の脆弱性が修正されました。netfilterのnf_tablesにおけるnft_map_catchall_activate()関数の逆転したgenmaskチェックが修正されました。nft_map_catchall_activate()はcatchallでない対応関数であるnft_mapelem_activate()および論理的に必要な動作と比較すると、要素のアクティビティチェックが逆転していました。nft_map_catchall_activate()は失敗したトランザクション中に非アクティブ化されたcatchallマップ要素を再アクティブ化するために中止パスから呼び出されます。この関数はすでにアクティブな要素をスキップし（再アクティブ化不要）、非アクティブな要素を処理すべきですが、現行のコードはその逆を行い、非アクティブな要素をスキップしアクティブな要素を処理していました。正しい非catchall版のコールバックであるnft_mapelem_activate()と比較すると、バグのあるcatchall版は不適切な条件を用いています。この結果、DELSET操作が中止された場合、catchall要素に対してnft_setelem_data_activate()が呼ばれず、NFT_GOTO判定要素においてnft_data_hold()が呼ばれずにchain-use参照カウントが復元されません。そのため、各中止サイクルでchain-useが永久に減少し、ゼロになるとDELCHAINが成功してチェーンを解放しますが、catchall判定要素はまだそれを参照し続け、use-after-freeが発生します。この脆弱性はCONFIG_USER_NSとCONFIG_NF_TABLESが有効なディストリビューションにおいて、ユーザーネームスペースとnftablesを通じて非特権ユーザーがローカル権限昇格を行うために悪用可能です。修正では否定を除去し、チェックがnft_mapelem_activate()と一致するように変更し、アクティブな要素をスキップし非アクティブな要素を処理する動作に修正しました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。gpio: virtuserのconfigfsリリースパスにおけるUse-After-Free（UAF）問題を修正しています。gpio-virtuserのconfigfsリリースパスでは、デバイス構造体を保護するためにmutexによるガードが使用されています。しかし、ガードのクリーンアップが実行される前にデバイスが解放されるため、mutex_unlock()が解放済みメモリ上で動作してしまいます。具体的には、gpio_virtuser_device_config_group_release()関数がmutexを破棄し、デバイスを解放した後でも、ガード(mutex)のスコープ内にあるためです。この関数の戻り時に、ガードのクリーンアップがmutex_unlock(&dev-lock)を呼び出し、スラブのUse-After-Freeが発生します。これを改善するために、mutexの寿命をscoped_guard()で囲い、mutex_destroy()やkfree()の前にロックが適切に解放されるよう修正しました。

Linuxカーネルにおいて、bondingのスレーブ配列更新後の enslave 失敗による use-after-free の脆弱性が修正されました。新しいスレーブが配列に追加された後に enslave が失敗すると、割り当てられたスレーブメモリが解放された後も使用される可能性がありました。この問題は、移動されたスレーブ更新配列のタイミングを変更することで解決されました。問題を再現するには、xdp_passプログラムを使って特定のコマンドを実行し、その後、並行して別のコマンドを実行する必要があり、ほぼ直ちにクラッシュが発生します。

Linuxカーネルにおいて、以下の脆弱性が修正されました。binder: binder_netlink_report() におけるUse-After-Free（UAF）の問題を修正しました。Onewayトランザクションが凍結されたターゲットに対して binder_proc_transaction() を通じて送信されると、BR_TRANSACTION_PENDING_FROZEN エラーが返されますが、ターゲットはいずれ解凍（thaw）されることが想定されているため、依然として成功とみなされます。そのため、BR_TRANSACTION_PENDING_FROZEN エラー後に 't' にアクセスすることは安全ではありません。なぜなら、そのトランザクションが既に解凍されたターゲットによって消費されている可能性があるからです。これは binder_netlink_report() において該当し、ペンディングの凍結エラー後に 't' を逆参照してしまいます。この問題は以下のKASANレポートで指摘されました。 ================================================================== BUG: KASAN: slab-use-after-free in binder_netlink_report.isra.0+0x694/0x6c8 8バイトの読み取りがアドレス ffff00000f98ba38 に対してタスク binder-util/522 により行われました。CPU: 4 UID: 0 PID: 522 Comm: binder-util Not tainted 6.19.0-rc6-00015-gc03e9c42ae8f #1 PREEMPT ハードウェア名: linux,dummy-virt (DT) コールトレース: binder_netlink_report.isra.0+0x694/0x6c8 binder_transaction+0x66e4/0x79b8 binder_thread_write+0xab4/0x4440 binder_ioctl+0x1fd4/0x2940 [...] タスク522による割り当て: __kmalloc_cache_noprof+0x17c/0x50c binder_transaction+0x584/0x79b8 binder_thread_write+0xab4/0x4440 binder_ioctl+0x1fd4/0x2940 [...] タスク488による解放: kfree+0x1d0/0x420 binder_free_transaction+0x150/0x234 binder_thread_read+0x2d08/0x3ce4 binder_ioctl+0x488/0x2940 [...] ================================================================== 代わりに、トランザクションのコピーを作成し、ペンディングの凍結エラー後でも binder_netlink_report() が安全にデータへアクセスできるようにしました。加えて、binder_netlink_report() 内で t-buffer を使用しないことに関するコメントを追加しました。

Linuxカーネルにおいて、以下の脆弱性が修正されました： wifi: iwlwifi: mld: mlo_scan_start_wkのキャンセルが切断時に行われていませんでした。実際には、再起動のクリーンアップ時以外ではどこでもキャンセルされておらず、しかもその際にはキャンセルする必要はありませんでした。これにより、例えばワークがキューに入れられ、その後drv_change_interfaceが実行された場合に、キュー後の初期化に問題が発生する可能性があります。また、vifが解放された後にワークが実行された場合には、使用後の解放に関する問題も引き起こす可能性があります。

Linuxカーネルにおいて、以下の脆弱性が修正されました。ALSAのaloopドライバにおけるPCMトリガーの競合アクセスの問題です。aloopドライバのPCMトリガーコールバックはPCMの状態をチェックし、対応するケーブル内の関連サブストリームのストリームを停止しようとします。しかし、チェックと停止の両方の操作がケーブルロックの外で実行されるため、プログラムが関連ストリームのオープンやクローズ時に頻繁にトリガーを試みると、Use-After-Free（UAF）が発生する可能性があり、これはfuzzerによって検出されました。UAFに対処するため、本パッチでは以下の2点を変更しています。1つ目は、loopback_check_format()内のコードのほとんどをcable-lockスピンロックで保護し、適切なNULLチェックを追加したことにより、競合的アクセスの一部を回避しました。2つ目は、この関数で停止される可能性のあるキャプチャ用PCMストリームの状態をチェックするようにし、これがUAFにつながる主な問題点だったことに対応しました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。bus: fsl-mcのdriver_override_show()関数におけるuse-after-freeの問題です。このdriver_override_show()関数はdevice_lockを保持せずにdriver_override文字列を読み取ります。一方、driver_override_store()関数はdriver_set_override()を使用しており、device_lockを保持したまま文字列を変更および解放します。そのため、store関数が文字列を解放している間にshow関数が読み取ると、同時にuse-after-freeの問題が発生する可能性があります。この修正では、読み取り操作の周囲でdevice_lockを保持することで問題を解決しています。

Linuxカーネルにおいて、以下の脆弱性が修正されました。xfsのxchk_btree_check_block_owner関数に存在したUse-After-Free（UAF）問題を修正しました。bs-sc-sa.{bno,rmap}_curが解放された後に、bs-curがそれにエイリアスしているかどうかを判定しようとすると、bs-curを逆参照してはいけませんでした。この問題は、解放が行われる前に型のサンプリングを行うことで修正されました。また、xfs_btnum_tを削除した際に正しい時間的順序が破壊されていた問題も修正されました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。erofsのdirectioオプションを使用したファイルバックマウントにおけるUse-After-Free（UAF）問題が修正されました。[ 9.269940][ T3222] コールトレースは以下の通りです。[ 9.269948][ T3222] ext4_file_read_iter+0xac/0x108、[ 9.269979][ T3222] vfs_iocb_iter_read+0xac/0x198、[ 9.269993][ T3222] erofs_fileio_rq_submit+0x12c/0x180、[ 9.270008][ T3222] erofs_fileio_submit_bio+0x14/0x24、[ 9.270030][ T3222] z_erofs_runqueue+0x834/0x8ac、[ 9.270054][ T3222] z_erofs_read_folio+0x120/0x220、[ 9.270083][ T3222] filemap_read_folio+0x60/0x120、[ 9.270102][ T3222] filemap_fault+0xcac/0x1060、[ 9.270119][ T3222] do_pte_missing+0x2d8/0x1554、[ 9.270131][ T3222] handle_mm_fault+0x5ec/0x70c、[ 9.270142][ T3222] do_page_fault+0x178/0x88c、[ 9.270167][ T3222] do_translation_fault+0x38/0x54、[ 9.270183][ T3222] do_mem_abort+0x54/0xac、[ 9.270208][ T3222] el0_da+0x44/0x7c、[ 9.270227][ T3222] el0t_64_sync_handler+0x5c/0xf4、[ 9.270253][ T3222] el0t_64_sync+0x1bc/0x1c0。ERFSはdirectioマウントオプションが有効なファイルバックマウント時に上述のパニックを引き起こす可能性があります。根本原因は以下の競合状態でUse-After-Free（UAF）が発生することです。具体的には、z_erofs_read_folioのワークキューs_dio_done_wq、z_erofs_runqueue、erofs_fileio_submit_bio、erofs_fileio_rq_submit、vfs_iocb_iter_read、ext4_file_read_iter、ext4_dio_read_iter、iomap_dio_rwにおいて、bioが送信され-EIOCBQUEUEDを返します。続いて、dio_aio_complete_work、dio_complete、dio-iocb-ki_complete (erofs_fileio_ki_complete())、kfree(rqによりiocbが解放され、iocb.ki_filpがfile_accessed()内でUAFになる可能性があります。さらにfile_accessedはNULLのファイルポインタへアクセスします。この問題の修正として、struct erofs_fileio_rqにリファレンスカウントを追加し、初期値を2に設定しました。erofs_fileio_ki_complete()とerofs_fileio_rq_submit()の両方がリファレンスカウントを減少させ、リファレンスカウントがゼロになった時にrqを解放します。

LinuxカーネルのExynos Virtual Displayドライバーにおいて、ctx-lockを使用していなかったためにメモリ割り当てや解放時に競合状態が発生しやすい脆弱性が修正されました。この脆弱性によって、use-after-freeの問題が生じる可能性があります。具体的には、vidi_context構造体のメンバー変数を保護するためにctx-lockを適切に適用する必要があることが示されました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。netfilterのnf_tablesにおけるnf_tables_addchain()のuse-after-freeの問題を修正しました。nf_tables_addchain()はフック登録の前にlist_add_tail_rcu()（nft_chain_add()内）を通じてチェーンをtable-chainsに公開します。もしnf_tables_register_hook()が失敗すると、エラーパスはnft_chain_del()（list_del_rcu()）を呼び出し、その後にRCU猶予期間なしでnf_tables_chain_destroy()を実行します。これにより、以下の2つのuse-after-free状態が発生していました。1) コントロールプレーンにおいて、nf_tables_dump_chains()がrcu_read_lock()の下でtable-chainsを走査します。エラーパスがチェーンを解放している間に、同時にダンプ処理がチェーンを参照している可能性がありました。2) パケットパスにおいて、NFPROTO_INETの場合、nf_register_net_hook()はIPv4フックを短時間インストールし、その後IPv6登録が失敗します。遷移的なIPv4フック経由でnft_do_chain()に入るパケットは、エラーパスがチェーンを解放している間にchain-blob_gen_Xを参照し続けてしまう可能性がありました。今回の修正では、nft_chain_del()とチェーンの破棄の間にsynchronize_rcu()を追加し、すべてのRCUリーダー（ダンプスレッドおよび進行中のパケット評価）が終了してからチェーンを解放するようにしました。

Linuxカーネルにおいて、以下の脆弱性が修正されました：f2fsのf2fs_write_end_io()におけるUse-After-Free（UAF）問題を回避する修正です。syzbotによってf2fs_write_end_io()でUse-After-Free問題が報告されました。この問題は、ループデバイスのワーカースレッドでの処理がumountによって干渉される競合状態によって引き起こされます。具体的には、f2fs_write_end_io内でfreeされたsbiにアクセスが発生します。kill_f2fs_super()では、free(sbi)呼び出しの前にf2fs inodeの全ページキャッシュを破棄し、すべてのfolioの書き込みバックを終了させることを保証しているため、最後のfolio_end_writeback()前にsbiにアクセスすることは安全とされていました。この問題を解決するために、ckptスレッドのウェイクアップ処理をfolio_end_writeback()の前に移動しました。

Windows Win32KのUse after freeにより、認証された攻撃者がローカルで権限を昇格させる可能性があります。

Windows DWM Core LibraryのUse after free脆弱性により、認可された攻撃者がローカル環境で権限を昇格させることが可能になります。

Microsoft Office Excel における Use after free の脆弱性により、不正な攻撃者がローカルでコードを実行できる可能性があります。

Microsoft Office における整数オーバーフローまたはラップアラウンドの脆弱性により、認可された攻撃者がローカルで特権を昇格させる可能性があります。

Google Chromeのバージョン146.0.7680.71以前のAgentsにはUse after freeの脆弱性があり、リモート攻撃者が細工されたHTMLページを介してヒープ破損を引き起こす可能性がありました。

Google Chrome 146.0.7680.71 未満のバージョンの WebMCP において、Use after free の脆弱性が存在しました。この脆弱性により、リモートの攻撃者が細工された HTML ページを介してヒープ破損を引き起こす可能性がありました。

Google Chrome 146.0.7680.71 より前のバージョンの拡張機能における Use after free の脆弱性により、攻撃者がユーザーを騙して悪意のある拡張機能をインストールさせ、細工された HTML ページを介してヒープ破損を悪用する可能性がありました。

Google Chromeの146.0.7680.71以前のバージョンにおけるTextEncodingのUse after freeの脆弱性により、リモートの攻撃者が細工されたHTMLページを介してヒープ破損を引き起こす可能性がありました。

Google Chrome 146.0.7680.71 未満のバージョンの MediaStream における Use after free の脆弱性により、リモートの攻撃者が細工された HTML ページを介してヒープ破損を引き起こす可能性がありました。

Google Chrome 146.0.7680.71 未満のバージョンにおいて、WebMIDI の Use after free により、リモート攻撃者が細工された HTML ページを介してヒープ破損を引き起こす可能性がありました。

Google Chrome 146.0.7680.71より前のバージョンにおいて、WindowDialogのuse after freeの脆弱性により、リモートの攻撃者が細工されたHTMLページを介してレンダラープロセスを侵害し、サンドボックスからの脱出を試みる可能性がありました。

Android版Google Chrome 146.0.7680.71より前のバージョンのWebViewにおいて、Use after freeの脆弱性が存在しました。この脆弱性により、リモートの攻撃者が細工されたHTMLページを介してヒープ破損を引き起こす可能性がありました。

WindowsプリントスプーラーコンポーネントにおけるUse after freeの脆弱性により、認証された攻撃者がネットワークを介してコードを実行可能です。

Windows Bluetooth RFCOMプロトコルドライバーにおける不適切な同期による共有リソースの競合状態（レースコンディション）のため、正当な攻撃者がローカルで権限を昇格させることが可能です。