脆弱性情報（JVN）検索・一覧

radare2 6.1.5には、GDBクライアントコア内のgdbr_pids_list()関数に使用後解放の脆弱性が含まれており、リモート攻撃者が不正なスレッド情報レスポンスを送信することでサービス拒否を引き起こすか、潜在的に任意のコードを実行できます。攻撃者は、qfThreadInfoがRDebugPid構造体の割り当てに成功した後にqsThreadInfoを失敗させることで脆弱性を誘発できます。その結果、エラーパスでリストのクリーンアップを試みる際に二重解放によるメモリ破損が発生します。

Windows Hyper-Vに存在するUse after freeの脆弱性により、不正な攻撃者がローカルで特権を昇格させることが可能です。

Linuxカーネルにおける脆弱性の修正として、ksmbdのoplock_infoを即時に解放していた問題を、call_rcu()による遅延解放に変更しました。これにより、use-after-freeが防止され、すでに解放されたoplock_info構造体へのアクセスが抑制されて安全性が向上しました。

PHPのバージョン8.2.*の8.2.31未満、8.3.*の8.3.31未満、8.4.*の8.4.21未満、および8.5.*の8.5.6未満において、SOAP拡張のオブジェクト重複排除機構はPHPオブジェクトへのポインタの参照カウントを増やさずにグローバルマップに保存します。apache:Mapノードに重複したキーがある場合、2つ目のエントリの処理が一時結果マップの最初のエントリを上書きし、元のPHPオブジェクトを解放しますが、古いポインタはマップに残ります。その後のhref参照により、解放されたノードのダングリングポインタが結果にコピーされる可能性があります。PHPの文字列割り当ては解放されたメモリ領域を再利用するため、SOAPリクエストボディを制御できる攻撃者はこのUse-After-Free脆弱性を悪用してリモートコードを実行する可能性があります。

PHPのバージョン8.2.*の8.2.31未満、8.3.*の8.3.31未満、8.4.*の8.4.21未満、および8.5.*の8.5.6未満において、SoapServerがSOAP_PERSISTENCE_SESSIONで構成されている場合、ハンドラーオブジェクトはセッションストレージを介してリクエスト間で永続化されます。しかし、SOAPリクエストがエラーを引き起こした場合、永続化の処理が誤って行われ、オブジェクトの解放後もそのポインタを保持し続けるため、use-after-freeの問題が発生する可能性があります。これにより、メモリ破損や情報漏洩、プロセスクラッシュが引き起こされ、脆弱なシステムの機密性、完全性、および可用性に影響を与える可能性があります。

Linuxカーネルにおいて、以下の脆弱性を修正しました: ksmbdのsmb_grant_oplock()におけるuse-after-freeおよびNULL参照の問題です。smb_grant_oplock()はオープンロック公開シーケンスで2つの問題がありました。1) opinfoはadd_lease_global_list()が呼ばれる前にci-m_op_listに(opinfo_addを介して)リンクされます。もしadd_lease_global_list()が失敗した場合（kmallocがNULLを返す場合）、エラーパスでopinfoは__free_opinfo()を介してci-m_op_listにリンクされたまま解放されます。このため、m_op_listの同時読取者（opinfo_get_listやsmb_break_all_levII_oplockによる直接反復）が解放済みノードを参照してしまいます。2) opinfo-o_fpはadd_lease_global_list()がopinfoをグローバルリースリストに公開した後に割り当てられます。同時にfind_same_lease_key()がリースリストを巡回すると、o_fpがまだNULLの間にopinfo-o_fp-f_ciを参照してしまう可能性があります。この公開後の失敗を排除するために公開シークエンスを再構成して修正しました。具体的には、NULL参照を修正するためにリスト公開前にopinfo-o_fpを設定し、opinfo_add()の前にalloc_lease_table()でlease_tableを事前に確保してadd_lease_global_list()が公開後に失敗しないようにしました。また、もとのm_op_list公開順序（opinfo_addが先、リースリストが後）を維持して、same_client_has_lease()やopinfo_get_list()による同時オープンが進行中のグラントを認識できるようにしました。さらに、エラーパスでは__free_opinfo()の代わりにopinfo_put()を使用し、RCU遅延解放パスを利用するようにしました。これにはadd_lease_global_list()の分割と、事前確保済みlease_tableの受け取り、および失敗しなくなったことで戻り値をintからvoidに変更することも含まれます。

Google Chrome バージョン 148.0.7778.96 より前の Views における Use after free 脆弱性は、レンダラープロセスを乗っ取ったリモート攻撃者が、細工された HTML ページを介してサイト隔離をバイパスできる問題でした。

Linuxカーネルにおいて、ksmbdのdurable scavenger経由の__ksmbd_close_fd()にUse-After-Freeの脆弱性が存在しており、この問題が修正されました。この脆弱性は、durableファイルハンドルがセッション切断後も生存している場合に発生します。session_fd_check()がfp-connをNULLに設定しても、fp-lock_list上のバイトレンジロックのクリーンアップが不十分でした。その結果、durable scavengerスレッドが__ksmbd_close_fd(NULL, fp)を呼び出す際、既に解放されたconnオブジェクトに対してspin_lock(&fp-conn-llist_lock)を実行してしまい、Use-After-Freeが発生しました。この問題は非対称なクリーンアップが原因であり、ロックエントリが古い接続のlock_listに残存し、fp-connがNULL化されていたことにあります。修正では、smb_lock-clistのライフタイムを適切に管理し、古い接続のlock_listからロックを削除し、新しい接続のlock_listに再追加することで安全性を確保しました。

Google Chromeのバージョン148.0.7778.96以前のフルスクリーン機能におけるUse after freeの脆弱性により、リモートの攻撃者が細工されたHTMLページを介してサンドボックスを脱出できる可能性がありました。この脆弱性はChromiumのセキュリティ重大度で高く評価されています。

Google Chromeのバージョン147.0.7727.138以前のGPUにおけるUse after freeの脆弱性により、リモートの攻撃者が細工されたHTMLページを介してサンドボックスから脱出を実行できる可能性がありました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。mptcpにおける__inet_lookup_establishedのslab-use-after-free問題が修正されました。ehashテーブルのルックアップはロックレスで行われ、RCUリードサイドクリティカルセクション中のソケットメモリの安定性を保証するためにSLAB_TYPESAFE_BY_RCUに依存しています。tcp_protおよびtcpv6_protはいずれもproto_register()を通じてこのフラグ付きでスラブキャッシュを作成します。しかし、MPTCPのmptcp_subflow_init()はinet_init()（fs_initcall、レベル5）中にtcpv6_protをtcpv6_prot_overrideにコピーしますが、inet6_init()（module_init/device_initcall、レベル6）がproto_register(&tcpv6_prot)を呼び出す前であるため、その時点でtcpv6_prot.slabはまだNULLであり、結果としてtcpv6_prot_override.slabは永続的にNULLのままになります。これにより、MPTCPのIPv6サブフロウの子ソケットはTCPv6スラブキャッシュではなくkmalloc（kmalloc-4kに該当）で割り当てられます。kmalloc-4kキャッシュはSLAB_TYPESAFE_BY_RCUを欠いているため、子ソケット用に設計上解除されているSOCK_RCU_FREEなしでこれらのソケットが解放されると、メモリが即座に再利用可能になります。その結果、rcu_read_lock下の同時ehashルックアップが解放済みメモリにアクセスし、__inet_lookup_establishedでslab-use-after-freeが発生します。この問題を修正するため、IPv6固有の初期化処理をmptcp_subflow_init()から新たなmptcp_subflow_v6_init()に分割し、プロトコル登録前にmptcp_proto_v6_init()から呼び出すようにしました。これによりtcpv6_prot_override.slabが正しくSLAB_TYPESAFE_BY_RCUスラブキャッシュを継承することが保証されます。

Linuxカーネルにおいて、以下の脆弱性が修正されました：net: ti: icssg-pruethのRXパスにおけるCPPIディスクリプタの使用後解放の問題です。cppi5_hdesc_get_psdata()はCPPIディスクリプタへのポインタを返します。emac_rx_packet()とemac_rx_packet_zc()の両方で、このディスクリプタはpsdataポインタがemac_rx_timestamp()で使用される前にk3_cppi_desc_pool_free()を介して解放されていました。emac_rx_timestamp()はpsdata[0]とpsdata[1]を参照しており、これはタイムスタンプ経路を通るすべての受信パケットに対して使用後解放（use-after-free）を引き起こしていました。そこで、psdataポインタを介したすべてのアクセスが完了するまでディスクリプタの解放を延期するようにしました。emac_rx_packet()では、free処理をrequeueラベルに移動し、早期終了パスと成功パスの両方でアクセス完了後にディスクリプタを解放するように改善しました。emac_rx_packet_zc()では、free処理をループ本体の最後、emac_dispatch_skb_zc()（これはemac_rx_timestamp()を呼び出します）が戻った後に移動しました。

Linuxカーネルのnet/tlsにおいて、tls_do_encryptionの-EBUSYエラーパスで発生するuse-after-freeの脆弱性が修正されました。この問題は、crypto_aead_encrypt()が-EBUSYを返した際に、非同期コールバックtls_encrypt_done()と同期的なクリーンアップ処理がencrypt_pendingを二重にデクリメントし、scatterlistの復元が二重に行われることで発生しました。その結果、encrypt_pendingの管理が破損し、後続の処理で解放済みのリソースにアクセスするuse-after-freeが引き起こされました。本問題は、-EBUSYの非同期待機がエラーを返した場合に同期的なクリーンアップ処理をスキップすることで修正されました。

Linuxカーネルにおいて、mm: folio_unmap_invalidate() 内で -free_folio() を直接呼び出していた問題が修正されました。この問題は、filemap_free_folio() がマッピングへの参照やロックを保持している場合にのみ呼び出される必要があり、そうでない場合はフォリオの削除によって use-after-free 脆弱性が発生する可能性がありました。__remove_mapping() と同様に、ロックを解除する前に free_folio 関数ポインタを取得するように変更されました。これにより、本関数は filemap.c 外から呼び出される唯一の関数として静的に定義されました。

Google Chrome 147.0.7727.117以前のDevToolsにおけるUse after freeの脆弱性により、リモートの攻撃者が細工されたHTMLページを介してレンダラープロセスを侵害し、サンドボックスからの脱出を実行する可能性がありました。

Google Chromeの147.0.7727.55より前のバージョンのPrivateAIにおけるUse after freeの脆弱性により、リモート攻撃者が特定のUIジェスチャーをユーザーに実行させることで、細工されたHTMLページを介してサンドボックスを脱出する可能性がありました。

Android版Google Chrome 146.0.7680.178未満のWebViewにおけるUse after freeの脆弱性により、リモート攻撃者が細工されたHTMLページを介してレンダラープロセスを侵害し、サンドボックスからの脱出を実行する可能性がありました。

Google Chrome 146.0.7680.178 未満のバージョンには、ナビゲーションに関する Use after free の脆弱性が存在します。この脆弱性により、リモートの攻撃者が特別に細工された HTML ページを使用してレンダラープロセスを侵害し、サンドボックスを回避する可能性があります。

Google Chrome 146.0.7680.178 より前のバージョンの Compositing における Use after free の脆弱性により、レンダラープロセスが侵害される可能性がありました。リモートの攻撃者は、細工された HTML ページを介してサンドボックスからの脱出を試みることができました。

障害者アクセスAPIコンポーネントにおけるUse-After-Freeの脆弱性により、サンドボックスからのエスケープが可能です。この脆弱性は、Firefox 149未満、Firefox ESR 140.9未満、Thunderbird 149未満、およびThunderbird 140.9未満に影響します。

CSS解析および計算コンポーネントにおいてUse-after-freeの脆弱性が存在します。この脆弱性は、Firefox 149未満、Firefox ESR 115.34未満、Firefox ESR 140.9未満、Thunderbird 149未満、およびThunderbird 140.9未満に影響を与えます。

レイアウトにおけるテキストおよびフォントコンポーネントにUse-after-freeの脆弱性があります。この脆弱性はFirefoxのバージョン149未満、Firefox ESRのバージョン115.34未満および140.9未満、Thunderbirdのバージョン149未満および140.9未満に影響を与えます。

JavaScriptエンジンコンポーネントにおけるUse-after-freeの脆弱性です。この脆弱性は、Firefoxのバージョン149未満、Firefox ESRのバージョン140.9未満、Thunderbirdのバージョン149未満、およびThunderbirdのバージョン140.9未満に影響を及ぼします。

WidgetのUse-after-freeの脆弱性がCocoaコンポーネントに存在します。この脆弱性はFirefox 149未満、Firefox ESR 140.9未満、Thunderbird 149未満、およびThunderbird 140.9未満に影響を及ぼします。

JavaScriptエンジンコンポーネントにおいてUse-after-freeの脆弱性が存在します。この脆弱性はFirefox 149未満およびThunderbird 149未満に影響を及ぼします。

Graphics: Canvas2D コンポーネントの use-after-free によるサンドボックス脱出の脆弱性です。この脆弱性は Firefox 149 未満および Thunderbird 149 未満に影響を与えます。

SAMtoolsは、バイオインフォマティクスのファイル形式を読み込み、操作し、書き出すためのプログラムです。`mpileup`コマンドは、既知のリファレンスに対して整列されたDNA配列を出力します。各出力行には、リファレンスの位置、オプションでその位置のリファレンスDNA塩基（別ファイルから取得）、およびその位置に整列したすべてのDNA塩基が書き込まれます。出力は位置順に並んでいるため、不要になったリファレンスデータは出力後に破棄されます。特定の条件下でデータが早期に破棄されてしまい、解放済みメモリへのポインタを読み込もうとする試みが発生することがあります。このバグによって、プログラムの状態に関する情報漏洩が起こる可能性があります。また、無効なメモリにアクセスしようとしてプログラムがクラッシュすることもあります。このバグはバージョン1.21.1および1.22で修正されました。この問題に対する回避策は存在しません。

FreeRDPはリモートデスクトッププロトコルの無料実装です。バージョン3.23.0以前では、`xf_SetWindowMinMaxInfo`が解放された`xfAppWindow`ポインタを参照解除してしまいます。これは、`xf_rail_server_min_max_info`内の`xf_rail_get_window`が`railWindows`ハッシュテーブルから保護されていないポインタを返し、メインスレッドがRAILチャネルスレッドがまだそのポインタを使用中である間にウィンドウ削除命令を介して同時にウィンドウを削除できるからです。バージョン3.23.0でこの問題は修正されました。

FreeRDPはリモートデスクトッププロトコルの無料実装です。バージョン3.23.0以前には、`xf_AppUpdateWindowFromSurface`が解放済みの`xfAppWindow`から読み取る問題がありました。これは、RDPGFX DVCスレッドが有効期間の保護なしに`xf_rail_get_window`を介して生ポインターを取得する一方で、メインスレッドが高速経路のウィンドウ削除命令によって同時にウィンドウを削除できるために発生するものです。この問題はバージョン3.23.0で修正されました。

FreeRDPはリモートデスクトッププロトコルの無料実装です。バージョン3.23.0より前では、`xf_AppUpdateWindowFromSurface`が解放されたRDPGFXサーフェスバッファを参照する`data`ポインタを持つキャッシュされた`XImage`を再利用していました。これは、`gdi_DeleteSurface`が`surface-data`を解放する際に、それをエイリアスする`appWindow-image`を無効化しなかったことに起因します。バージョン3.23.0でこの問題は修正されました。

FreeRDPはリモートデスクトッププロトコルの無料実装です。バージョン3.23.0以前では、`xf_cliprdr_provide_data_`が解放された`pDstData`を`XChangeProperty`に渡していました。これは、cliprdrチャネルスレッドがロックを保持せずにクリップボードデータを変換・使用する`xf_cliprdr_server_format_data_response`を呼び出す一方で、X11イベントスレッドが同時に`xf_cliprdr_clear_cached_data`→`HashTable_Clear`を呼び出し、`xf_cached_data_free`を通じて同じデータを解放してしまうためです。このため、ヒープの使用後解放が発生していました。バージョン3.23.0でこの問題は修正されました。

FreeRDPはリモートデスクトッププロトコルの無料実装です。バージョン3.23.0以前では、`xf_clipboard_format_equal`関数が解放された`lastSentFormats`メモリを読み取ってしまいます。これは、`xf_clipboard_formats_free`（自動再接続中にcliprdrチャネルスレッドから呼び出される）が配列を解放する一方で、X11イベントスレッドが同時に`xf_clipboard_changed`内で配列を反復処理しているためであり、ヒープの使用後解放（use after free）が発生します。バージョン3.23.0でこの問題は修正されました。

ImageMagickは、デジタル画像の編集および操作に使用される無料のオープンソースソフトウェアです。バージョン7.1.2-15および6.9.13-40より前のバージョンでは、細工されたMSLスクリプトがヒープの使用後解放（heap-use-after-free）を引き起こします。操作要素ハンドラーは画像を置き換えて解放しますが、パーサーは画像からの読み取りを継続するため、その後の解析中にReadBlobStringでUAFが発生します。バージョン7.1.2-15および6.9.13-40では、この問題を修正するパッチが含まれています。

JavaScriptのGCコンポーネントにおけるUse-after-freeの脆弱性です。この脆弱性はFirefox 148未満、Firefox ESR 115.33未満、Firefox ESR 140.8未満、Thunderbird 148未満、およびThunderbird 140.8未満に影響を及ぼします。

JavaScriptエンジンコンポーネントにUse-after-freeの脆弱性が存在します。この脆弱性は、Firefox 148未満、Firefox ESR 115.33未満、Firefox ESR 140.8未満、Thunderbird 148未満、およびThunderbird 140.8未満に影響を与えます。

JavaScriptエンジンのJITコンポーネントにおいて、JITミスコンパイルおよびUSE-AFTER-FREEの脆弱性が存在します。この脆弱性はFirefoxのバージョン148未満、Firefox ESRのバージョン115.33未満および140.8未満、Thunderbirdのバージョン148未満および140.8未満に影響を与えます。

JavaScriptエンジンコンポーネントにおけるUse-after-freeの脆弱性があります。この脆弱性はFirefoxのバージョン148未満、Firefox ESRのバージョン140.8未満、Thunderbirdのバージョン148未満、およびThunderbirdのバージョン140.8未満に影響します。

JavaScriptエンジンのJITコンポーネントにおけるUse-after-freeの脆弱性があります。この脆弱性は、Firefox 148未満、Firefox ESR 140.8未満、Thunderbird 148未満、およびThunderbird 140.8未満に影響を及ぼします。

JavaScriptのUse-after-free脆弱性がWebAssemblyコンポーネントに存在します。この脆弱性はFirefox 148未満、Firefox ESR 140.8未満、Thunderbird 148未満、およびThunderbird 140.8未満に影響を及ぼします。

DOM: Bindings (WebIDL) コンポーネントにおける Use-after-free 脆弱性です。この脆弱性は Firefox 148、Firefox ESR 115.33、Firefox ESR 140.8、Thunderbird 148、および Thunderbird 140.8 に影響を及ぼします。