脆弱性情報（JVN）検索・一覧

Linuxカーネルにおいて、以下の脆弱性が修正されました。ip_vtiのdecode_session6内に存在した潜在的なスラブ使用後解放（use-after-free）の問題が修正されました。ip_vtiデバイスがsfbタイプのqdiscに設定されている場合、送信されるskbのcbフィールドがエンキュー時に変更される可能性がありました。その結果、ip_vtiデバイスがIPv6パケットを送信する際にスラブ使用後解放の問題が発生することがありました。コミットf855691975bb（「xfrm6: _decode_session6内のnexthdrオフセットを修正」）で示されたように、xfrm_decode_sessionは元々受信パス専用に設計されていました。IP6CB(skb)-nhoffは送信時に設定されません。そのため、パケット送信前にskb内のcbフィールドを0に設定するように変更されました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。tracing/histogramsにおけるヒストトリガーは、参照された変数がある場合にhist_varsにヒストグラムを追加しますが、直接の変数フィールドを持たずに参照変数を持つことがあります。これはトリガーのアクションに参照変数が追加される場合に発生します。この場合、新たに追加された参照には変数フィールドがありません。こうした参照された変数を考慮しなければ、変数が参照されたままのヒストトリガーを削除できてしまうバグが発生する可能性があります。このバグは以下の手順で簡単に再現可能です。$ cd /sys/kernel/tracing $ echo 'synthetic_sys_enter char[] comm; long id' synthetic_events $ echo 'hist:keys=common_pid.execname,id.syscall:vals=hitcount:comm=common_pid.execname' events/raw_syscalls/sys_enter/trigger $ echo 'hist:keys=common_pid.execname,id.syscall:onmatch(raw_syscalls.sys_enter).synthetic_sys_enter($comm, id)' events/raw_syscalls/sys_enter/trigger $ echo '!hist:keys=common_pid.execname,id.syscall:vals=hitcount:comm=common_pid.execname' events/raw_syscalls/sys_enter/trigger。この結果として、KASANによるslab-use-after-freeエラーなどのバグが発生し、カーネルのスタックトレースに詳細が報告されます。本脆弱性の修正によって、参照された変数があるヒストトリガーの適切な管理が保証され、上記のuse-after-freeおよびメモリ破損の問題が防止されます。

Linuxカーネルにおいて、以下の脆弱性が修正されました。ksmbdのkrb_authenticate関数にダングリングポインタの問題がありました。krb_authenticateはsess-userを解放しますが、ポインタをNULLに設定しません。ksmbd_krb5_authenticateがsess-userを再初期化するために呼び出されますが、この関数は場合によっては初期化せずに戻ることがあります。その場合、krb_authenticateを呼び出すsmb2_sess_setupは、後でsess-userを使用するときに解放済みメモリにアクセスしてしまいます。

Windows KDC Proxy Service（KPSSVC）におけるUse after freeの脆弱性により、認証されていない攻撃者がネットワークを介してコードを実行できる可能性があります。

monkeyのコミットf37e984にあるmk_server/mk_http.cのmk_http_request_end関数におけるuse-after-freeの脆弱性により、攻撃者が細工されたHTTPリクエストをサーバーに送信するとサービス拒否（DoS）を引き起こす可能性があります。

Google Chrome のバージョン 145.0.7632.45 未満における CSS の Use after free により、リモートの攻撃者が細工された HTML ページを介してヒープ破損を引き起こす可能性がありました。

Google Chromeの145.0.7632.45以前のバージョンのOzoneにおけるUse after freeの脆弱性により、遠隔の攻撃者が特定のUI操作をユーザーに行わせるように仕向け、細工されたHTMLページを介してヒープ破損を悪用する可能性がありました。

Windows Subsystem for Linux における Use after free の脆弱性により、認可された攻撃者がローカルで権限を昇格させることが可能です。

WindowsクラスタクライアントのフェイルオーバーにおけるUse after freeの脆弱性により、認証された攻撃者がローカルで権限を昇格させることが可能となります。

MailslotファイルシステムにおけるUse after freeの脆弱性により、認可された攻撃者がローカルで権限を昇格させることが可能です。

After Effects バージョン25.6およびそれ以前のバージョンにはUse After Freeの脆弱性が存在し、これにより現在のユーザーのコンテキストで任意のコードが実行される可能性があります。この問題を悪用するためには、被害者が悪意のあるファイルを開くというユーザー操作が必要です。

After Effects のバージョン 25.6 以前には Use After Free の脆弱性が存在し、この脆弱性により現在のユーザーのコンテキストで任意のコードが実行される可能性があります。この問題を悪用するには、被害者が悪意のあるファイルを開く操作を行う必要があります。

After Effects のバージョン 25.6 およびそれ以前のバージョンは、Use After Free の脆弱性の影響を受けています。この脆弱性により、現在のユーザーのコンテキストで任意のコードが実行される可能性があります。この問題を悪用するには、被害者が悪意のあるファイルを開くというユーザーの操作が必要となります。

After Effects のバージョン 25.6 以前には Use After Free の脆弱性が存在し、これにより現在のユーザーのコンテキストで任意のコードが実行される可能性があります。この問題を悪用するためには、被害者が悪意のあるファイルを開くというユーザー操作が必要です。

After Effectsのバージョン25.6以前にはUse After Freeの脆弱性が存在し、これにより現在のユーザーの権限で任意のコードを実行される可能性があります。この問題を悪用するためには、被害者が悪意のあるファイルを開くというユーザーの操作が必要です。

複数のスレッドが同時にメモリ解放APIにアクセスした際にメモリが破損する問題です。

メモリポインタの不適切な処理により、グラフィックス処理ユニットのメモリバッファを解放する際にメモリ破損が発生します。

ユーザー空間のアドレスが変更され、mem_free API に渡される際にメモリ破損が発生し、その結果カーネルメモリが誤って解放されます。

Microsoft Graphics ComponentのUse after freeの脆弱性により、権限を持つ攻撃者がローカルで権限を昇格させることが可能です。

Windows Subsystem for Linuxにおける共有リソースの不適切な同期（『競合状態』）を利用した同時実行により、認可された攻撃者がローカルで権限を昇格させることが可能です。

Windows Ancillary Function Driver for WinSockにおけるUse after freeの脆弱性により、認可された攻撃者がローカルで権限を昇格させることが可能となります。

Linuxカーネルにおいて、リングバッファの破棄前にIRQの同期処理が適切に行われない問題が修正されました。この問題はARCH=um環境のタイムトラベル中に発生し、リングバッファ破棄直前にIRQ処理が実行されることで使用後のメモリ参照（use-after-free）が生じ、KASANレポートやクラッシュを引き起こす可能性がありました。この脆弱性はirq_work_sync()の追加により修正されており、バッファ破棄前に必ず同期処理が完了するように改善されています。過去にはグローバルIRQワークが1つしか存在しなかったため、この問題は発生しませんでした。

Open Asset Import Library Assimp 6.0.2 までにセキュリティ脆弱性が検出されました。この脆弱性の影響を受けるのは、ファイル /src/assimp/code/AssetLib/LWO/LWOMaterial.cpp 内の関数 Assimp::LWOImporter::FindUVChannels です。この操作により use after free（解放後使用）が発生します。攻撃はローカルで実行される必要があります。このエクスプロイトは公開されており、悪用される可能性があります。この問題および類似の欠陥は issue #6128 を通じて追跡され、対応されています。

FreeRDPはリモートデスクトッププロトコルの無料実装です。3.22.0より前のバージョンでは、video_timerが制御チャネル閉鎖後にクライアント通知を送信し、解放済みのコールバックを参照することで使用後解放（use after free）が発生する可能性がありました。この脆弱性は3.22.0で修正されました。

FreeRDPはリモートデスクトッププロトコルの無料実装です。3.22.0以前のバージョンでは、urb_select_interfaceがエラー時にデバイスのMS設定を解放することがありますが、その後のコードでそれを参照し続けるため、libusb_udev_select_interfaceで解放後に使用される脆弱性が発生します。この脆弱性は3.22.0で修正されました。

FreeRDPはリモートデスクトッププロトコルの無料実装です。3.22.0以前のバージョンでは、AUDINフォーマットの再交渉時にアクティブなフォーマットリストを解放する際、キャプチャスレッドが引き続きaudin-formatを使用していたため、audio_format_compatibleで使用後解放（use after free）が発生しました。この脆弱性は3.22.0で修正されました。

FreeRDPはリモートデスクトッププロトコルの無料実装です。バージョン3.22.0以前では、キャプチャスレッドがデバイスチャネルのクローズ後に解放されたチャネルコールバックを使用してサンプルレスポンスを送信し、その結果ecam_channel_writeでuse after freeが発生します。この脆弱性はバージョン3.22.0で修正されました。

FreeRDPはリモートデスクトッププロトコルの無料実装です。バージョン3.22.0より前では、sdl_Pointer_Newが失敗した場合にデータを解放し、その後pointer_freeがsdl_Pointer_Freeを呼び出して再度解放したため、ASanのUse-After-Free（UAF）脆弱性を引き起こしていました。この脆弱性は3.22.0で修正されました。

FreeRDPはリモートデスクトッププロトコルの無料実装です。バージョン3.22.0以前では、URBDRCチャネルのクローズ後に、非同期バルク転送の完了処理で解放されたチャネルコールバックを使用する可能性があり、urb_write_completionでのuse after freeが発生します。この脆弱性はバージョン3.22.0で修正されました。

FreeRDPはリモートデスクトッププロトコルの無料実装です。ainput_send_input_event関数はchannel_callbackをローカル変数にキャッシュし、その後同期なしで使用します。これにより、チャネルが同時に閉じられた場合にコールバックが解放または再初期化され、解放後に使用される（Use After Free）可能性があります。この問題はバージョン3.22.0以前に影響し、脆弱性はバージョン3.22.0で修正されました。

FreeRDPはリモートデスクトッププロトコルの無料実装です。3.22.0より前のバージョンでは、RDPSNDの非同期再生スレッドがチャネルが閉じられ内部状態が解放された後もキューに入ったPDUを処理できるため、rdpsnd_treat_waveでUse After Freeの脆弱性が発生します。この脆弱性は3.22.0で修正されました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。blk-cryptoのblk_crypto_evict_key()関数をより堅牢にしました。blk_crypto_evict_key()は、キーがまだ使用中であるか（バグが原因で）keyslot_evictが失敗した場合、現在は単に戻り値を返しつつキーはkeyslot管理構造にリンクされたままになっています。しかし、blk_crypto_evict_key()はinodeの削除など失敗が許されないコンテキストでのみ呼び出されているため、実際には呼び出し元がblk_crypto_evict_key()の戻り値にかかわらずblk_crypto_keyの解放を進めます。これら二つの想定が一致せず、その結果、これらのエラーのいずれかが発生した後にblk_crypto_reprogram_all_keys()でuse-after-freeが起こる可能性があります（これらのエラーは本来発生しないはずですが、万が一発生した場合の問題です）。この問題を修正するために、blk_crypto_evict_key()が失敗時でもキーをkeyslot管理構造からリンク解除するようにしました。また、一部のコメントも改善しました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。f2fsでは、キャッシュされたIPU bioに対するuse-after-freeを回避するための修正が行われました。xfstest generic/019で以下のバグが報告されました。kernel BUG at mm/filemap.c:1619! RIP: 0010:folio_end_writeback+0x8a/0x90 コールトレース: end_page_writeback+0x1c/0x60 f2fs_write_end_io+0x199/0x420 bio_endio+0x104/0x180 submit_bio_noacct+0xa5/0x510 submit_bio+0x48/0x80 f2fs_submit_write_bio+0x35/0x300 f2fs_submit_merged_ipu_write+0x2a0/0x2b0 f2fs_write_single_data_page+0x838/0x8b0 f2fs_write_cache_pages+0x379/0xa30 f2fs_write_data_pages+0x30c/0x340 do_writepages+0xd8/0x1b0 __writeback_single_inode+0x44/0x370 writeback_sb_inodes+0x233/0x4d0 __writeback_inodes_wb+0x56/0xf0 wb_writeback+0x1dd/0x2d0 wb_workfn+0x367/0x4a0 process_one_work+0x21d/0x430 worker_thread+0x4e/0x3c0 kthread+0x103/0x130 ret_from_fork+0x2c/0x50。根本原因は、cp_errorが設定された後に、f2fs_write_single_data_page() 内の f2fs_submit_merged_ipu_write() がキャッシュされたIPU bioのフラッシュを試みることです。しかし、f2fs_submit_merged_ipu_write() は @bio パラメータの有効性チェックを見逃しており、他の IO コンテキストに属するランダムなキャッシュ済み bio の送信を引き起こします。その結果、use-after-free の問題が発生します。本問題は、追加の有効性チェックを加えることで修正されました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。clk: imx: scuにおいて、解放後使用を回避するために_safeリストイテレーターを使用しました。このループは"clk"を解放するため、list_for_each_entry_safe()を使用する必要があります。そうしないと、解放された変数を逆参照してループの次のアイテムを取得してしまいます。

Linuxカーネルにおいて、以下の脆弱性が修正されました。nilfs2のnilfs_segctor_thread()内にあるstruct nilfs_sc_infoの潜在的なUse-After-Free（UAF）問題を修正しました。nilfs_segctor_thread()の終了処理は、そのスレッドを終了させるnilfs_segctor_kill_thread()と競合し、KASANにより検出されたUse-After-Freeバグが発生する可能性があります。nilfs_segctor_thread()の終了時に、スレッドが終了したことを示すために、struct nilfs_sc_infoのメンバーである"sc_task"にNULLを代入し、その後waitqueueである"sc_wait_task"を使用してnilfs_segctor_kill_thread()に通知します。しかし、ここで"sc_task"にNULLを代入した直後にnilfs_segctor_kill_thread()がこれを検出し、解放処理を継続してnilfs_sc_info構造体をスレッドの通知前に解放してしまう可能性がありました。この問題は、struct nilfs_sc_infoのスピンロック"sc_state_lock"を使用して、"sc_task"へのNULL代入と通知処理を保護することで修正されました。nilfs_segctor_kill_thread()は"sc_state_lock"がロックされた状態で"sc_task"がNULLかどうかの最終チェックを行うため、このレースコンディションを排除できます。

Linuxカーネルにおいて、以下の脆弱性が修正されました：dax_mapping_release() の解放後使用エラーの修正です。CONFIG_DEBUG_KOBJECT_RELEASE を有効にして device-dax リージョンプロバイダ（例：modprobe -r dax_hmem）を削除すると、以下のような動作になります：kobject: 'mapping0' (ffff93eb460e8800): kobject_release、親 0000000000000000 (遅延 2000) [...] DEBUG_LOCKS_WARN_ON(1) WARNING: CPU: 23 PID: 282 at kernel/locking/lockdep.c:232 __lock_acquire+0x9fc/0x2260 [...] RIP: 0010:__lock_acquire+0x9fc/0x2260 [...] コールトレース: TASK [...] lock_acquire+0xd4/0x2c0 ? ida_free+0x62/0x130 _raw_spin_lock_irqsave+0x47/0x70 ? ida_free+0x62/0x130 ida_free+0x62/0x130 dax_mapping_release+0x1f/0x30 device_release+0x36/0x90 kobject_delayed_cleanup+0x46/0x150。この問題は、すでに解放されたidaオブジェクトに対してida_free()を試みたために発生しました。デバイスは通常、登録されている間のみ親への参照を保持します。子が解放を完了するために親オブジェクトを必要とする場合は、解放コールバックからドロップする参照を保持しなければなりません。dax_mapping_release() が呼ばれるまで、dax_mappingが親のdev_daxインスタンスをピン留めするように調整してください。