脆弱性情報（JVN）検索・一覧

特権のないユーザーとしてインストールおよび実行されるソフトウェアが、不適切なGPUシステムコールを行うことで参照カウントの誤管理を引き起こし、潜在的なUse After Freeの原因となる可能性があります。不適切な参照カウント管理により内部リソースが誤って操作され、Use After Freeが発生するシナリオが確認されました。

NanoMQ MQTTブローカー（NanoMQ）はエッジメッセージングプラットフォームです。バージョン0.24.2以前には、サブ情報リストに関する典型的なデータ競合の問題があり、その結果ヒープ使用後解放によるクラッシュが発生する可能性がありました。この問題はバージョン0.24.2で修正されました。

特権のないユーザーとしてインストールおよび実行されるソフトウェアが、不適切なGPUシステムコールを行い、リソースの参照カウントを誤って管理しました。その結果、潜在的な解放後の使用（Use After Free）シナリオが発生する可能性があります。内部リソースにおける不適切なリソース管理と参照カウントの問題が原因で、潜在的な書き込みの解放後の使用シナリオが存在していました。

ビデオセッションのオープンがタイムアウトエラーで失敗した場合、ビデオ再生中にメモリ破損が発生します。

モードを設定するためのIOCTL呼び出しの処理中にメモリ破損が発生します。

HDCPセッションの終了時にメモリ破損が発生します。

Linuxカーネルにおいて、以下の脆弱性が修正されました。octeontx2-pfのotx2_sync_tstamp()におけるuse-after-freeバグを修正しました。元のコードはotx2_ptp_destroy()内のcancel_delayed_work()に依存していましたが、これは遅延作業項目であるsynctstamp_workが既に実行中であった場合に完全に終了したことを保証しません。そのため、otx2_ptp_destroy()でotx2_ptpが解放される一方で、synctstamp_workが依然としてアクティブであり、otx2_sync_tstamp()内でotx2_ptpを参照しようとするuse-after-freeの状況が発生していました。加えて、synctstamp_workは周期的に動作するため、このバグが発生する確率は無視できません。典型的な競合状態は以下の通りです。CPU 0（クリーンアップ）ではotx2_remove()が呼ばれ、その中でotx2_ptp_destroy()がcancel_delayed_work()とkfree(ptp)を実行します。一方、CPU 1（遅延作業コールバック）ではotx2_sync_tstamp()がptp = container_of(...)でuse-after-freeを起こし、ptp-にアクセスしようとします。これはKASANレポートにより確認されています。バグはcancel_delayed_work()をcancel_delayed_work_sync()に置き換えることで、遅延作業項目が正しくキャンセルされた後にotx2_ptpが解放されることを保証し、修正されました。このバグは最初に静的解析で特定されました。再現とテストのため、QEMUでOcteonTX2 PCIデバイスをシミュレートし、otx2_sync_tstamp()関数内に人工的な遅延を導入してバグの発生率を高めました。

Linuxカーネルにおいて、以下の脆弱性が修正されました：block、bfqに関する「bfqq-bic」の使用後解放（UAF）の可能性です。テストではバージョン5.10で「bfqq-bic」に関する使用後解放が報告されています。詳細は、KASANによりbfq_select_queue関数内でUAFが検出され、特にプロセス移動に伴い新しいbfqqが割り当てられる変更（コミット3bc5e683c67d）において、古いbfqqと新しいbfqqが同じbicを指す場合がありました。具体的には、最初に同じcgroupに属する2つのプロセスがそれぞれbfqqを持ちます。次にbfqq1がbfqq2にマージされ、その後プロセスが終了し新たなI/Oを発行する過程で、プロセスを別のcgroupに移動し新たなbfqq3を割り当てた際に、bfqq2とbfqq3の両方が同じBIC2を指す状態が発生しました。全てのリクエストが完了した後にプロセスが終了すると、BIC2が解放されますが、bfqq2がBIC2解放前に解放される保証がないため、UAFが発生します。この問題は、bfqqがbicから切り離される際にbfqq-bicをクリアすることで修正されました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。virtio-mmioに関する問題で、vm_devのライフサイクルが壊れていました。vm_devは'struct device'を内包しているため、リリースコールバックを持つことが正しい動作です。しかし、devresでvm_dev構造体を割り当てるとこの保護機構が完全に崩れてしまいます。プラットフォームデバイスが削除されると、vm_devのリリースコールバックを待つ代わりにメモリが解放され、最終的にコールバックが呼ばれたときにuse-after-freeが発生します。問題を簡単に確認するには、CONFIG_DEBUG_KOBJECT_RELEASEを有効にしてカーネルをコンパイルし、sysfsでバインドを解除してください。修正は簡単で、このケースではdevresを使用しないことです。この問題はオブジェクトのライフタイム問題に関する調査中に発見されました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。drbdのhandle_write_conflictsで欠落していたkref_getが追加されました。"two-primaries"が有効な場合、DRBDは同時書き込みを検出して書き込み競合を処理し、両ノードで同じセクターに同時に書き込んでも、書き込み完了後には同一のデータにします。"superseded"書き込みの処理時にkref_getを忘れており、その結果、drbd_destroy_deviceが早期に呼び出され、解放後の使用が発生し、さらにその結果としてカーネルクラッシュが引き起こされていました。関連情報として、DRBDをランダムデータ生成器として使用すべきではありません。"two-primaries"ユーザーはすべて上位層で同時書き込みを正しく処理しています。つまり、クラスター型ファイルシステムは分散ロックマネージャーを使用し、仮想化環境のライブマイグレーションは一方のノードでの書き込みを停止してから他方のノードで書き込みを開始します。したがって、"テストケース"以外では、このコードパスは実際には通らないことを意味します。参考までに、DRBD 9では現在これらの処理が異なり、"書き込み競合"は検出するものの賢く処理せず、厳しく切断しています。上位層は同時書き込みを送信してはならず、もし送信した場合はそれは上位層の問題とみなされます。

Linuxカーネルにおいて、以下の脆弱性が修正されました。dm_cacheのdestroy()関数内に存在していたUse-After-Free（UAF）の問題を修正しました。また、dm_cacheはdm_resume()とdm_destroy()が同時に実行される場合にも同様のUAF問題がありました。そこで、destroy()関数内でタイマーを再度キャンセルする処理を追加しました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。Bluetoothにおけるsco_sock_timeoutによって引き起こされるuse-after-freeのバグを修正しました。sco接続が確立された後、scoソケットが解放されるとtimeout_workがスケジュールされ、scoの切断がタイムアウトかどうかを判断します。ソケットは後で解放されますが、sco_sock_timeout内で再び参照されます。その結果、use-after-freeのバグが発生します。根本的な原因は、CleanupスレッドとWorkerスレッド間での操作により、sco_sock_release - sco_sock_close - __sco_sock_close - sco_sock_set_timer - schedule_delayed_work、そしてsco_sock_killでsock_put(sk)が実行されメモリが解放される一方、Workerスレッドのsco_sock_timeoutでsock_hold(sk)が使用されることにあります。POCによってトリガーされたKASANレポートには、sco_sock_timeoutでのslab-use-after-freeの詳細なスタックトレースが示されています。解放済みの1024バイト領域の内部128バイトのアドレスに4バイトの書き込みが行われたことも報告されました。これにより、BluetoothのSCOソケットに関連するメモリ解放後の不正なアクセスによる脆弱性が判明し、今回修正されました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。tipcのエラーパスにおけるUse-After-Free（UAF）の問題です。Sam Page（sam4k）とTrend Micro Zero Day Initiativeによって報告されたtipc_buf_append()のエラーパスにおけるUAFは、KASANによりkfree_skb_list_reason関数内でのスラブ使用後解放（use-after-free）が検出されました。発生箇所はlinux/net/core/skbuff.cの1183行目です。この脆弱性はtask pocによってアドレスffff88804d2a7c80から8バイトの読み取りが行われた際に明らかになりました。トレースログに示されている通り、skbの解放処理（kfree_skb等）が錯綜し、エラー処理経路で既に解放されたメモリを参照していました。この脆弱性はtipcバッファのappend処理中に発生し、悪用されるとメモリ破壊やカーネルの予期しない挙動を引き起こす恐れがあります。修正はtipcのエラーパスにおいて適切なメモリ管理を行うことでUAFの発生を防止しています。

Linuxカーネルにおいて、以下の脆弱性が修正されました。tcp: tcp_twsk_unique()内でrefcount_inc_not_zero()を使用します。Anderson Nascimentoは、tcp_twsk_unique()におけるUse-after-freeの脆弱性を詳細な解析とともに報告しました。コミットec94c2696f0b（"tcp/dccp: timewaitハッシュダンスのための1回のアトミック操作を回避"）以降、inet_twsk_hashdance()はTIME-WAITソケットをehashに入れ、バケットロックを解放した後にsk_refcntを設定しています。したがって、connect()中に他のスレッドがポートの再利用を試み、refcntが0のTIME-WAITソケットに対してtcp_twsk_unique()内でsock_hold()を呼び出す可能性がある小さな競合状態があります。もしそれが発生すると、tcp_twsk_unique()で取得したrefcntが上書きされ、sock_put()がアンダーフローを引き起こし、他の場所で実際のUse-after-freeを誘発します。Use-after-freeを避けるために、tcp_twsk_unique()内でrefcount_inc_not_zero()を使用し、falseを返した場合はポートの再利用を諦める必要があります。[0]: refcount_t: 0への加算によるuse-after-freeが発生します。警告: CPU: 0 PID: 1039313 at lib/refcount.c:25 refcount_warn_saturate+0xe5/0x110 CPU: 0 PID: 1039313 コマンド: trigger このカーネルは未改造ではありません。バージョンは6.8.6-200.fc39.x86_64 #1です。ハードウェア名はVMware, Inc. VMware20,1/440BX Desktop Reference Platformで、BIOSはVMW201.00V.21805430.B64.2305221830（2023年5月22日）です。RIPは0010:refcount_warn_saturate+0xe5/0x110です。以下は省略し、詳細なコールトレース等があります。

Linuxカーネルにおいて、以下の脆弱性が修正されました。xfrmのdecode_session6におけるスラブ使用後解放（use-after-free）の問題です。xfrmデバイスがsfbタイプのqdiscに設定されている場合、送信されたskbのcbフィールドがエンキュー中に変更されることがあります。これにより、xfrmデバイスがIPv6パケットを送信する際にスラブ使用後解放が発生する可能性があります。以下に関連するスタック情報の一部を示します。BUG: KASAN: decode_session6でのスラブ使用後解放です。呼び出しトレースが示すように、decode_session6は元々受信パスのために設計されており、送信中はIP6CB(skb)-nhoffが設定されません。そのため、パケット送信前にskbのcbフィールドを0に設定する修正が加えられました。コミットf855691975bb（"xfrm6: Fix the nexthdr offset in _decode_session6."）によりこの問題が明確にされ、この修正によって送信時に発生するuse-after-freeのリスクが軽減されています。

Linuxカーネルにおいて、以下の脆弱性が修正されました。RDMA/bnxt_reに関しては、UAFを回避するためにib_device_unalloc()の呼び出し順序を適切に修正しました。ib_dealloc_device()はデバイスのクリーンアップ後にのみ呼び出される必要があります。解放シーケンスを修正しました。

Linuxカーネルにおける脆弱性が修正されました。__mark_inode_dirty()関数でのuse-after-freeの問題は、inodeのスピンロックを適切に保持することで解決されました。これにより、書き込みバックの競合状態が防止され、システムの安定性とセキュリティが向上しました。

IPCコンポーネントにおけるUse-after-freeの脆弱性です。この脆弱性はFirefox 147未満、Firefox ESR 115.32未満、Firefox ESR 140.7未満、Thunderbird 147未満、およびThunderbird 140.7未満に影響します。

Linuxカーネルのdrm/msmドライバにおいて、プローブ遅延によるuse-after-freeの脆弱性が修正されました。この問題は、DRMデバイスの解体時にブリッジカウンターがリセットされなかったため、次回の解体時に古いポインタへアクセスしてしまったことに起因しています。この脆弱性により、範囲外のデータが破損する可能性がありました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。cnicのcnic_delete_taskにおけるuse-after-freeバグを修正しました。元のコードでは、cnic_cm_stop_bnx2x_hw()内でcancel_delayed_work()が使用されており、遅延ワークアイテムである'delete_task'がすでに実行中の場合、その完了が保証されていませんでした。さらに、その遅延ワークアイテムは周期的であり、cnic_cm_stop_bnx2x_hw()内のflush_workqueue()は呼び出し前にキューに入れられたワークアイテムのみを待機します。flush_workqueue()呼び出し後にキューに追加されたワークアイテムは待機対象に含まれません。つまり、周期的なワークアイテムの実行が終了した後でも、workqueueに遅延ワークアイテムが存在する可能性があります。これにより、cnic_free_dev()によってcnic_devが解放された後でもdelete_taskがアクティブなままでcnic_delete_task()内でcnic_devを参照しようとしてuse-after-freeの状況が発生します。典型的な競合状態は以下の通りです。CPU0（クリーンアップ）ではcnic_netdev_event() - cnic_stop_hw() - cnic_cm_stop_bnx2x_hw() - cancel_delayed_work() - flush_workqueue() - cnic_free_dev(dev)が実行され、cnic_devが解放されます。一方、CPU1（遅延ワークコールバック）ではcnic_delete_task()がflush_workqueue()の後にqueue_delayed_work()を実行し、新しいdelete_taskインスタンスがdevを使用します。cancel_delayed_work()をcancel_delayed_work_sync()に置き換えることで、周期的な遅延ワークアイテムが適切にキャンセルされ、ワークアイテムの実行が完了するまで待機した後にcnic_devが解放されるようになりました。さらにcancel_delayed_work_sync()は__flush_work(work, true)を使用して現在実行中のワークアイテムの完了を同期的に待つため、flush_workqueue()は冗長となり削除されるべきです。このバグは静的解析により特定されました。再現および修正検証のために、QEMU上でcnic PCIデバイスをシミュレートし、cnic_delete_task()内にssleep()を挿入するなど意図的な遅延を加えてバグ発生の可能性を高めました。

Linuxカーネルにおいて、次の脆弱性が修正されました：virtio_umlのprobe内でのput_device後に発生するuse-after-freeの問題を修正しました。virtio_uml_probe()内でregister_virtio_device()が失敗した場合、デバイスが正常に登録されなかったにもかかわらず、コードはvu_dev-registeredを1に設定していました。これにより、use-after-freeやその他の問題が発生する可能性がありました。

Juniper Networks Junos OSおよびJuniper Networks Junos OS Evolvedのルーティングプロトコルデーモン(rpd)にはUse After Freeの脆弱性が存在し、攻撃者が特定の不正なAS PATHを含むBGPアップデートを送信すると、rpdがクラッシュしてサービス拒否(DoS)が引き起こされる可能性があります。不正なAS PATH属性を継続的に受信することで、持続的なDoS状態が発生します。すべてのJunos OSおよびJunos OS Evolvedプラットフォームでは、BGPアップデート内で特定の不正なAS PATHが受信され、traceoptionsが有効である場合にrpdプロセスがクラッシュし再起動します。この問題はBGP traceoptionsが有効なシステムにのみ影響し、すでにBGPセッションが確立されている必要があります。BGP traceoptionsが無効なシステムには影響しません。この問題の影響を受けるバージョンは以下の通りです。Junos OS: 21.2R3-S9より前のすべてのバージョン、21.4のすべてのバージョン、22.2の22.2R3-S6より前、22.4の22.4R3-S5より前、23.2の23.2R2-S3より前、23.4の23.4R2-S4より前、24.2の24.2R2より前。Junos OS Evolved: 22.4R3-S5-EVOより前のすべてのバージョン、23.2-EVOの23.2R2-S3-EVOより前、23.4-EVOの23.4R2-S4-EVOより前、24.2-EVOの24.2R2-EVOより前。これにより、サービス拒否が発生するリスクがあります。

Juniper NetworksのJunos OSおよびJunos OS Evolvedの802.1X認証デーモン(dot1xd)に、Use After Freeの脆弱性が特定されました。この脆弱性により、認証済みでネットワークに隣接した攻撃者がポートをフラップさせることでdot1xdプロセスをクラッシュさせ、サービス拒否(DoS)を引き起こすか、またはroot権限で実行されているプロセスのコンテキスト内で任意のコードを実行する可能性があります。問題はポートのバウンスが発生した際の認可変更(CoA)の処理に特有で、ポインタが解放された後に同じコードパス内で再参照される点に起因します。成功した攻撃は、この脆弱なコードパスを実行するために必要な2つのイベントのタイミングを特定できないため、攻撃者の直接制御外にあります。この問題は802.1X認証によるポートベースのネットワークアクセス制御(PNAC)が有効なシステムに影響を与えます。影響を受けるバージョンは以下の通りです。Junos OS: 23.2R2-S1から23.2R2-S5未満、23.4R2から23.4R2-S6未満、24.2から24.2R2-S3未満、24.4から24.4R2-S1未満、25.2から25.2R1-S2および25.2R2です。Junos OS Evolved: 23.2R2-S1から23.2R2-S5-EVO未満、23.4R2から23.4R2-S6-EVO未満、24.2から24.2R2-S3-EVO未満、24.4から24.4R2-S1-EVO未満、25.2から25.2R1-S2-EVOおよび25.2R2-EVOです。

Linuxカーネルのkernfsサブシステムにおいて、__kernfs_remove関数内のuse-after-freeの脆弱性が修正されました。この脆弱性は、Syzkallerが同時にkernfs_remove_by_name_ns()を呼び出すことで発生し、KASANによって検出されました。競合状態により、kernfs_drain()の実行中にルートノードが解放されて不正なメモリアクセスが発生していました。この問題に対処するため、削除されるツリーのルートに対して__kernfs_remove()を呼び出す前に追加の参照カウントを取得するように修正されました。

Linuxカーネルにおいて、次の脆弱性が修正されました。efi: ssdtに関して、ACPIテーブルが正常にロードされた場合はメモリを解放しないように修正されました。Amadeuszは、コミット3881ee0b1edc（"efi: avoid efivars layer when loading SSDTs from variables"）によって導入されたKASANのuse-after-freeエラーを報告しました。この問題は、新しいACPIテーブルを保持するメモリが、ACPIコアがテーブルのロード失敗を報告した場合のみならず、無条件に解放されていたことに起因しています。そこで、成功時にはkfree()を省略することでこの問題を修正しました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。cxl/acpiのcxl_parse_cfmws()関数におけるuse-after-freeの問題が修正されています。KASANおよびKFENCEによってCXLドライバー内でのuse-after-freeが検出されました。この問題はcxl_decoder_add()の失敗パスで発生します。KASANは以下のエラーを出力します。BUG: KASAN: slab-use-after-free in cxl_parse_cfmws (drivers/cxl/acpi.c:299)。この問題はcxl_parse_cfmws()関数内で、put_device()が呼ばれてcxldの解放が行われた後に、そのメモリへアクセスしてしまうことにより発生します。dev_err()内で解放されたメモリを指すのではなく、ローカル変数を使用するように変更しました。dev_err()はリソースの情報を出力しているため、固定コードの出力フォーマットを%pr形式の指定子を使うように変更しました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。libのcpu_rmapに関するrmap->obj配列のエントリで解放後使用を回避するための修正です。irq_set_affinity_notifier()をnotify引数にNULLで呼び出すと、対応する配列エントリのglueポインタは解放されますが、配列内のポインタはそのまま残ります。その後、free_irq_cpu_rmap()を呼び出すと、このエントリを再度解放しようとし、解放後使用につながる可能性があります。これを修正するために、配列のエントリをNULLに設定し、free_irq_cpu_rmap()で配列を走査する際にエントリが非ゼロであることを確認するようにしました。現行コードでは、irq_set_affinity_notifier(irq, NULL)（notify引数にNULLが渡される）呼び出し後にfree_irq_cpu_rmap()が呼ばれるケースが存在しないため、この問題は発生していません。ですが、このシリーズの後続パッチでこのフローが利用されるため、修正が必要になりました。

GIMPのXCFファイル解析におけるUse-After-Freeのリモートコード実行脆弱性があります。この脆弱性により、リモートの攻撃者が影響を受けるGIMPのインストール環境で任意のコードを実行可能です。悪用するためにはユーザーの操作が必要であり、対象ユーザーが悪意のあるページを訪問するか悪意のあるファイルを開く必要があります。具体的な欠陥はXCFファイルの解析部分に存在します。この問題は、オブジェクトに対する操作を行う前にオブジェクトの存在を検証しないことが原因です。攻撃者はこの脆弱性を利用して、現在のプロセスのコンテキストでコードを実行できます。この脆弱性は元々ZDI-CAN-28376として報告されました。