脆弱性情報（JVN）検索・一覧

Linuxカーネルにおいて、次の脆弱性が修正されました。efi: ssdtに関して、ACPIテーブルが正常にロードされた場合はメモリを解放しないように修正されました。Amadeuszは、コミット3881ee0b1edc（"efi: avoid efivars layer when loading SSDTs from variables"）によって導入されたKASANのuse-after-freeエラーを報告しました。この問題は、新しいACPIテーブルを保持するメモリが、ACPIコアがテーブルのロード失敗を報告した場合のみならず、無条件に解放されていたことに起因しています。そこで、成功時にはkfree()を省略することでこの問題を修正しました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。cxl/acpiのcxl_parse_cfmws()関数におけるuse-after-freeの問題が修正されています。KASANおよびKFENCEによってCXLドライバー内でのuse-after-freeが検出されました。この問題はcxl_decoder_add()の失敗パスで発生します。KASANは以下のエラーを出力します。BUG: KASAN: slab-use-after-free in cxl_parse_cfmws (drivers/cxl/acpi.c:299)。この問題はcxl_parse_cfmws()関数内で、put_device()が呼ばれてcxldの解放が行われた後に、そのメモリへアクセスしてしまうことにより発生します。dev_err()内で解放されたメモリを指すのではなく、ローカル変数を使用するように変更しました。dev_err()はリソースの情報を出力しているため、固定コードの出力フォーマットを%pr形式の指定子を使うように変更しました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。libのcpu_rmapに関するrmap->obj配列のエントリで解放後使用を回避するための修正です。irq_set_affinity_notifier()をnotify引数にNULLで呼び出すと、対応する配列エントリのglueポインタは解放されますが、配列内のポインタはそのまま残ります。その後、free_irq_cpu_rmap()を呼び出すと、このエントリを再度解放しようとし、解放後使用につながる可能性があります。これを修正するために、配列のエントリをNULLに設定し、free_irq_cpu_rmap()で配列を走査する際にエントリが非ゼロであることを確認するようにしました。現行コードでは、irq_set_affinity_notifier(irq, NULL)（notify引数にNULLが渡される）呼び出し後にfree_irq_cpu_rmap()が呼ばれるケースが存在しないため、この問題は発生していません。ですが、このシリーズの後続パッチでこのフローが利用されるため、修正が必要になりました。

GIMPのXCFファイル解析におけるUse-After-Freeのリモートコード実行脆弱性があります。この脆弱性により、リモートの攻撃者が影響を受けるGIMPのインストール環境で任意のコードを実行可能です。悪用するためにはユーザーの操作が必要であり、対象ユーザーが悪意のあるページを訪問するか悪意のあるファイルを開く必要があります。具体的な欠陥はXCFファイルの解析部分に存在します。この問題は、オブジェクトに対する操作を行う前にオブジェクトの存在を検証しないことが原因です。攻撃者はこの脆弱性を利用して、現在のプロセスのコンテキストでコードを実行できます。この脆弱性は元々ZDI-CAN-28376として報告されました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。Bluetoothのl2cap_sock_cleanup_listen()におけるUse-After-Freeの問題を修正しました。syzbotが再現手段なしに以下のsplatを報告しました。splatでは、bt_accept_dequeue()を呼び出した単一スレッドがskを解放し、その後にアクセスしていました。根本原因は、該当コミットで追加された競合状態のあるl2cap_sock_cleanup_listen()の呼び出しだと考えられます。bt_accept_dequeue()はlock_sock()のもとで呼び出されますが、l2cap_sock_release()は例外です。二つのスレッドがbt_accept_dequeue()内のリストイテレーション中に同一のソケットを参照する可能性があります。CPU1ではsock_hold(sk)を行いlock_sock(sk)でclose()をブロックし、sock_put(sk)、bt_accept_unlink(sk)、sock_put(sk)、release_sock(sk)と進みます。一方、CPU2はlock_sock(sk)、sock_put(sk)、bt_accept_unlink(sk)、sock_put(sk)（最後の参照カウント）、bt_accept_unlink(sk)（Use-After-Free）へと進行します。タイミングによっては別のスレッドが"Freed by task"部分に現れることがあります。l2cap_sock_release()内のl2cap_sock_cleanup_listen()をlock_sock()の内部で呼び出すことで対処しています。具体的には、KASANによるUse-After-Free検出のトレースが示されており、spinlock_debug.cやnet/bluetooth関連ファイルの関数呼び出し順で問題が発生していました。これにより、BluetoothのL2CAPソケットのクリーンアップ処理中にUse-After-Free脆弱性が生じる問題を修正し、競合状態を防止するためのロック制御を強化しました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。wifi: cfg80211のcmp_bss()に存在していたuse-after-freeの問題が修正されました。コミット776b3580178f（「cfg80211: 隠しSSIDネットワークを適切に追跡」）に導入されたbss_free()の特殊処理に続いて、cfg80211_update_known_bss()が調整され、対応する「hidden_beacon_bss」ポインタを介して共有されていない場合にのみ、最後のビーコンフレーム要素を解放するようにしました。

Linuxカーネルに存在した脆弱性について、xilinx_canドライバのxcan_write_frame()関数が送信済みのSKBを解放後に誤って使用してしまうuse-after-free問題が修正されました。具体的には、can_put_echo_skb()はSKBの所有権を受け取りますが、呼び出し中やその後でSKBが解放されることがありました。一方で、xcan_write_frame()はその後もSKBを使用し続けていました。この問題は、SKBの操作を全て終えた後にcan_put_echo_skb()を呼び出すように修正することで解決されました。なお、tx_lockはxcan_write_frame()の全実行期間中およびcan_get_echo_skb()の両方で保持されているため、操作の順序による問題は発生しません。以前の修正コミットではcan_put_echo_skb()の呼び出し位置が十分に後ろに移動されていませんでした。以上の修正により、メモリの誤使用によるセキュリティリスクが排除されました。

Linuxカーネルのmm/damon/sysfsディレクトリにあるstate_show()関数にはuse-after-freeの脆弱性が存在しました。state_show()関数はdamon_sysfs_lockを保持せずにkdamond->damon_ctxを読み取るため、ctxが解放された後にアクセスされる競合状態が発生します。この問題はmutexロックの不適切な使用によるものであり、修正によりdamon_sysfs_lockを取得してからコンテキストを参照するように改善されました。この脆弱性は当該関数が初めてkdamond->damon_ctxにアクセスした時点から存在していました。

FreeRDPはリモートデスクトッププロトコルの無料実装です。3.20.1より前のバージョンでは、シリアルチャネルのIRPスレッドトラッキングにおける競合状態によって、一方のスレッドがserial->IrpThreadsからエントリを削除する際に、別のスレッドがそれを読み取ることでヒープの使用後解放(use-after-free)が発生します。この脆弱性は3.20.1で修正されました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。HID: mcp-2221に関する遅延ワークにおけるUse-After-Free（UAF）を防止するための対策です。デバイスがmcp_init_work()の完了を待たずに接続または切断された場合、devmの解放コードパスが実行され、その結果、遅延ワーク中に利用できなくなったstruct mcp_2221が参照される可能性があります。この問題は遅延ワークアイテムのキャンセルによって解決できます。cancel_delayed_work_syncを用いることで、ワークアイテムが自身で再キューされるのを防ぐことが可能です。

Linuxカーネルにおいて、以下の脆弱性が修正されました: crypto: xtsはEBUSYを正しく処理するようになりました。xtsは特別な戻り値であるEINPROGRESSのみを処理しており、それ以外の場合はすべてリクエストに関連するデータを解放していました。しかし、xtsの呼び出し元がMAY_BACKLOGを指定する可能性があるため、EBUSYも同様に扱う必要がありました。そうしなければ、バックログされたリクエストがuse-after-freeを引き起こしてしまいます。

Linuxカーネルにおいて、mm/debug_vm_pgtableのdestroy_args()関数がページテーブルエントリをクリアしない問題が修正されました。この問題により、古いページテーブルエントリが残存し、別のプロセスが同じアドレスにpgdを持つmm_structを割り当てた際に不整合が発生する可能性があります。CONFIG_DEBUG_VM_PGTABLEが有効な環境下でデバッグ出力が示すように、pgtables_bytesが負の値になるなどの異常が観測されました。modprobeプロセスがこの問題の影響を受ける可能性がありますが、mm_struct自体の割り当てには問題がありません。本脆弱性によってメモリ管理における不整合が生じるリスクがあります。

Linuxカーネルにおいて、以下の脆弱性が修正されました。HID: asusに関するHID_CLAIMED_INPUT検証を介したUse-After-Free（UAF）の問題を修正しました。hid_hw_start()呼び出し後、入力層でデバイスをセットアップするために最終的にhidinput_connect()が呼ばれます。これはHID_CONNECT_DEFAULT接続マスクが使用されるためです。hidinput_connect()の処理中に、すべての入力および出力レポートが処理され、対応するhid_inputsがhidinput_configure_usages()によって割り当ておよび設定されます。この処理は、レポートフィールドへのスロットタグ付けや機能ビットマップの関連ビット設定によるユースの設定を含みます。しかし、機能ビットマップがまったく設定されない可能性があり、その結果、hidinput_has_been_populated()チェックに失敗してhid_inputおよび基盤となる入力デバイスが解放されてしまいます。特に悪意のあるHIDデバイス、例えばASUS ROG N-Keyキーボードのようなデバイスは、特別に細工された記述子を介してこのシナリオを引き起こし、hid_hw_start()後に解放された入力デバイスの名前に書き込もうとする際にUse-After-Freeが発生します。以下に示すレポート93は意図的にHID_UP_UNDEFINED Usage Pageを利用しており、ユース設定中にスキップされ、これが解放を引き起こします。レポート記述子の抜粋は次の通りです：0x05, 0x0D, // Usage Page (Digitizer) 0x09, 0x05, // Usage (Touch Pad) 0xA1, 0x01, // Collection (Application) 0x85, 0x0D, // Report ID (13) 0x06, 0x00, 0xFF, // Usage Page (Vendor Defined 0xFF00) 0x09, 0xC5, // Usage (0xC5) 0x15, 0x00, // Logical Minimum (0) 0x26, 0xFF, 0x00, // Logical Maximum (255) 0x75, 0x08, // Report Size (8) 0x95, 0x04, // Report Count (4) 0xB1, 0x02, // Feature (Data,Var,Abs) 0x85, 0x5D, // Report ID (93) 0x06, 0x00, 0x00, // Usage Page (Undefined) 0x09, 0x01, // Usage (0x01) 0x15, 0x00, // Logical Minimum (0) 0x26, 0xFF, 0x00, // Logical Maximum (255) 0x75, 0x08, // Report Size (8) 0x95, 0x1B, // Report Count (27) 0x81, 0x02, // Input (Data,Var,Abs) 0xC0, // End Collection UAF発生後のKASANスプラット出力例は以下の通りです：[ 21.672709] ==================================================================[ 21.673700] BUG: KASAN: slab-use-after-free in asus_probe+0xeeb/0xf80[ 21.673700] Write of size 8 at addr ffff88810a0ac000 by task kworker/1:2/54[ 21.673700] CPU: 1 UID: 0 PID: 54 Comm: kworker/1:2 Not tainted 6.16.0-rc4-g9773391cf4dd-dirty #36 PREEMPT(voluntary)[ 21.673700] Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.16.2-debian-1.16.2-1 04/01/2014[ 21.673700] Call Trace:...（省略）... この脆弱性は、特にASUS ROG N-Keyキーボードのような悪意のあるHIDデバイスが不正なHIDレポート記述子を使うことでシステムのメモリ破壊を引き起こし、カーネルの不安定化やクラッシュを招く恐れがある問題です。

Linuxカーネルにおいて、以下の脆弱性が修正されました。net: rose: 'use'フィールドをrefcount_tに変換しました。struct rose_neighの'use'フィールドは参照カウンタとして使用されていましたが、原子性が欠如していました。このため、rose_neigh構造体が他のコードパスからまだ参照されているにもかかわらず解放される競合状態が発生する可能性がありました。例えば、rose_rt_ioctl()を介したioctl操作中にrose_neigh->useがゼロになると、構造体がそのタイマーがまだ有効な状態で削除され、use-after-freeの問題を引き起こす恐れがありました。このパッチでは'use'の型をunsigned shortからrefcount_tに変更し、すべてのコードパスでrose_neigh_hold()とrose_neigh_put()を使用して参照カウントを原子的に操作するように更新しています。

Linuxカーネルにおいて、以下の脆弱性が修正されました：kernfsでオープンされたファイルが解放された際のポーリングにおけるUse-After-Free（UAF）の問題を修正しました。PSI（Pressure Stall Information）監視メカニズムにてUse-After-Freeの脆弱性が確認されています。KASANの報告によると、psi_trigger_poll関数内で解放済みメモリの使用が発生していました。具体的には、epoll監視を使いcpu.pressureファイルをオープンした後、cgroup.pressureの監視を無効化（echo 0 > cgroup.pressure）すると、cgroup_file_release()によりPSIトリガーが解放され、kernfs_drain_open_files()で関連リソースが解放されます。一方で、epollは引き続きファイル参照を保持してポーリングを続け、再度監視を有効化（echo 1 > cgroup.pressure）した時に解放済みのメモリへアクセスする競合状態が発生します。この問題に対処するため、kernfsのオープンファイルに対してアクティブ参照を取得するkernfs_get_active_of()関数を導入しました。この関数は既にファイルが解放されている場合に失敗し、解放済みのファイルディスクリプタに対する操作を防ぎます。既存のkernfs_get_active()はkernfs_get_active_of()に置き換えられ、Use-After-Freeの発生防止に寄与します。

Windows Management Servicesに存在するUse after freeの脆弱性により、認可された攻撃者がローカルで権限を昇格させることが可能になる問題です。

Capability Access Management Service (camsvc)における不適切な同期により共有リソースの同時実行（レースコンディション）が発生し、認可された攻撃者がローカルで権限昇格を可能にします。

Linuxカーネルにおいて、以下の脆弱性が修正されました：drm/nouveauのnouveau_gem_prime_import_sg_table()関数におけるuse-after-freeの問題です。nouveau_bo_init()はttm_bo_init()に依存しており、その戻り値を呼び出し元に返します。失敗時にはttmがnouveau_bo_del_ttm()を呼び出してメモリを解放します。したがって、nouveau_bo_init()がエラーを返した場合、gemオブジェクトは既に解放されています。その後のnouveau_bo_ref()の呼び出しは解放済みの"nvbo->bo"を使用しており、use-after-freeバグを引き起こします。このuse-after-free問題を回避するために、nouveau_bo_ref()の呼び出しを削除する必要があります。

Linuxカーネルにおいて、以下の脆弱性が修正されました：HIDのmultitouchに関するhidinputのinput_dev nameのdevmデバイス参照を修正しました。input_dev nameのdevm割り当てはinputデバイスではなくHIDデバイスを参照する必要があります。もしinput_devを参照すると、input_devが登録解除された際にuse-after-freeが発生し、その後名前に依存するueventが発火します。ueventが発火される時点で名前はdevres管理によって解放されています。メモリ割り当てとinput_dev name文字列のフォーマットのロジックを簡素化するためにdevm_kasprintfを使用しています。

Capability Access Management Service (camsvc) における不適切な同期による共有リソースの同時実行（レースコンディション）が原因で、認可された攻撃者がローカル環境で特権を昇格させることが可能となる脆弱性です。

Windows DWMのUse after free脆弱性により、認可された攻撃者がローカルで権限を昇格させることが可能となります。

WindowsクリップボードサーバーにおけるUse after freeの脆弱性により、不正な攻撃者がローカルで権限を昇格させることが可能です。

Windows ローカルセキュリティ機関サブシステムサービス(LSASS)におけるUse after freeの脆弱性により、権限を持つ攻撃者がネットワーク経由でコードを実行できる可能性があります。

Windows Management ServicesのUse after freeの脆弱性により、認証された攻撃者がローカルで権限を昇格させることが可能です。

WindowsカーネルモードドライバーにおけるUse after freeの脆弱性により、認可された攻撃者がローカルで権限を昇格できる可能性があります。

Windows管理サービスにおける不適切な同期による共有リソースの同時実行（『レースコンディション』）により、認可された攻撃者がローカルで権限を昇格させることが可能です。

Windows Management ServicesにおけるUse after freeの脆弱性により、認証された攻撃者がローカル環境で権限を昇格させることが可能です。

Windows Management Services において、不適切な同期により共有リソースの同時実行（競合状態）が発生し、認証された攻撃者がローカルで権限を昇格できる問題が存在します。

Windows Win32K の ICOMP における Use after free の脆弱性により、認可された攻撃者がローカルで特権を昇格させることが可能になります。

Desktop Windows ManagerにおけるUse after freeの脆弱性により、権限のある攻撃者がローカルで特権を昇格させることが可能となります。

Windows Management Servicesにおける不適切な同期による共有リソースの同時実行（「レースコンディション」）が存在し、認可された攻撃者がローカルで権限を昇格させることが可能です。

Windows Management Servicesにおける不適切な同期を伴う共有リソースの同時実行（レースコンディション）が存在し、これにより認可された攻撃者がローカルで権限を昇格させることが可能です。

Windows Management Services における Use after free の脆弱性により、権限を持つ攻撃者がローカルで権限を昇格させることが可能になります。

Windows Management Servicesにおける不適切な同期が原因で共有リソースの同時実行（レースコンディション）が発生し、認証された攻撃者がローカルで権限を昇格させることが可能になります。