脆弱性情報（JVN）検索・一覧

Microsoft Office における互換性のない型の使用（「型の混同」）によってリソースに不正アクセスが行われ、不正な攻撃者がローカルでコードを実行できる可能性があります。

Microsoft Office Wordにおいて、信頼されていないポインタ参照の脆弱性により、未承認の攻撃者がローカル環境でコードを実行する可能性があります。

NVIDIAのLinux用ディスプレイドライバには、攻撃者がUse-After-Freeを引き起こす可能性がある脆弱性が含まれています。この脆弱性を悪用されると、サービス拒否、権限の昇格、情報漏洩、データ改ざん、およびコード実行を引き起こす可能性があります。

Windows Ancillary Function Driver for WinSockにおけるUse after freeの脆弱性により、認可された攻撃者がローカルで権限を昇格させることが可能です。

InDesign Desktopのバージョン21.3、20.5.3およびそれ以前のバージョンには、Use After Freeの脆弱性が存在しており、この脆弱性により現在のユーザーのコンテキストで任意のコードを実行できる可能性があります。この問題を悪用するには、被害者が悪意のあるファイルを開く必要があります。

Windowsのプッシュ通知において、共有リソースの使用時に不適切な同期（レースコンディション）が発生し、認可された攻撃者がローカル環境で権限を昇格させることが可能です。

WindowsカーネルのUse after freeの脆弱性により、認証された攻撃者がローカルで特権を昇格させることが可能です。

Linuxカーネルにおいて、以下の脆弱性が修正されました。wifi: mac80211におけるレーダー検出作業で、安全なリストの反復を使用することで、ieee80211_dfs_cac_cancelの呼び出し時に反復中のchanctxが解放されリストから削除される問題を防止します。これにより、スラブの使用後解放エラーを回避します。

Linuxカーネルにおいて、以下の脆弱性が修正されました。media: irisにおけるMBPFチェック中のfmt_srcのUse-After-Freeの問題を修正しました。並行テスト中、複数のインスタンスが並行して動作し、それぞれのインスタンスは自身のinst-lockを使用します。一方、core-lockはアクティブなインスタンスのリストを保護しています。この競合は、これらのロックが異なる範囲をカバーしているために発生します。inst-lockは単一インスタンスの内部のみを保護し、MBPF（Macro Blocks Per Frame）チェッカーはcore-lockの下でコアリストを走査し、fmt_src-widthやfmt_src-heightのようなフィールドを読み取ります。同時に、iris_close()関数はinst-lockの下でfmt_srcとfmt_dstを解放する場合があり、その時点でもインスタンスはまだコアリスト内に存在しています。これにより、MBPFチェッカーがコアリストを走査中にfmt_srcが別スレッドによって既に解放されたインスタンスに到達し、ダングリングポインタの逆参照が発生し、Use-After-Freeの状態になります。これはMBPFチェッカーがコアリスト内のインスタンスは完全に有効であると仮定しているためであり、インスタンスをリストから削除せずにfmt_srcとfmt_dstを解放することが誤りです。正しい順序としては、インスタンスがコアリストから削除され、coreロック下での全テアダウンが完了した後にfmt_srcとfmt_dstの解放を遅延させることであり、MBPFチェック中にダングリングポインタが露出しないようにしています。

Linuxカーネルにおいて、以下の脆弱性が修正されました。batman-advモジュールのblaにおいて、クレーム削除時のuse-after-freeを防止しました。batadv_bla_del_backbone_claims()はバックボーンのすべてのクレームを削除する際に、ハッシュリストのリンクエントリを削除して処理を行います。このリストエントリ自体はbatadv_claim_put()を通じて同時に解放すべき参照のひとつです。しかし、この関数内で最後のクレームオブジェクトへアクセスする前にbatadv_claim_put()を呼び出してはいけません。そうしないと、リストエントリが削除される前にbatadv_claim_release()関数によってクレームがすでに解放されてしまう可能性があるためです。

Linuxカーネルにおいて、以下の脆弱性が修正されました。HID: appletb-kbdにおける非アクティブタイマーのクリーンアップパスに関するUse-After-Free（UAF）の問題です。修正はCommit 38224c472a03（"HID: appletb-kbd: fix slab use-after-free bug in appletb_kbd_probe"）で行われ、probeのclose_hwエラーパスとappletb_kbd_remove()の両方にtimer_delete_sync(&kbd-inactivity_timer)が追加されました。しかし、その結線方法によりドライバーの停止時に非アクティブタイマーが二つの異なるタイミングで到達可能な状態が残っていました。ウィンドウAでは、timer_delete_sync()の前にput_device()が呼ばれます（put_device(&kbd-backlight_dev-dev)の後にtimer_delete_sync(&kbd-inactivity_timer)）。inactivity_timerのsoftirqはkbd-backlight_devを読み取り、backlight_device_set_brightness()を呼び出し、その中でmutex_lock(&ops_lock)が呼ばれます。もし同時にhid_appletb_blのunbindがこれら二つの呼び出しの間で最後のdevm参照を解放すると、backlight_deviceが解放され、mutex_lock()が解放済みメモリにアクセスする危険があります。ウィンドウBでは、backlightクリーンアップがhid_hw_stop()の前に実行されます。具体的には、if (kbd-backlight_dev) {timer_delete_sync(...); put_device(...);}の後にhid_hw_close(hdev)およびhid_hw_stop(hdev)が呼び出されます。ウィンドウAが閉じられてもhid_hw_close()/hid_hw_stop()はその後も実行されるため、HIDコアの遅延した"event"コールバック（実機Appleハードウェア上のUSB URB完了）がtimer_delete_sync()でsoftirqが消費されたあとで、かつput_device()で最後の参照が解放される前に到着する可能性があります。そのコールバックはreset_inactivity_timer()に達し、mod_timer()を呼び出してタイマーを再起動します。再起動されたタイマーは、まさに解放されようとしているbacklight_device上で発火する恐れがあります。両方のウィンドウは同じKASAN slab-use-after-freeエラーを引き起こしています。具体的には、BUG: KASAN: slab-use-after-free in __mutex_lock+0x1aab/0x21c0、アクセスサイズ8、アドレスffff88803ee9a108、タスクswapper/0/0による読み取りが発生し、呼び出しトレースはIRQ __mutex_lock backlight_device_set_brightness appletb_inactivity_timer call_timer_fn run_timer_softirq handle_softirqsです。割り当てたタスクNはdevm_backlight_device_registerおよびappletb_bl_probeであり、解放したタスクMは同時に発生するhid_appletb_bl unbindパスです。これら両方のウィンドウを同時に閉じるため、appletb_kbd_remove()およびprobeのclose_hwエラーパスでの停止手続きを再設計しました。具体的には、1) backlightクリーンアップの前にhid_hw_close()/hid_hw_stop()を実行して、その後に"event"コールバックによるタイマー再起動が発生しないことを保証し、2) "if (kbd-backlight_dev)"ブロック内でtimer_delete_sync()をput_device()より先に実行し、softirqが最終参照解放前に消費されるようにしました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。drmのchange_handle内で、prime交換前に古いハンドルをNULLに設定します。change_handleには潜在的な競合状態が存在しました。ioctlは一時的に2つのidrエントリを持つ単一のオブジェクトを扱い、その間に並行して実行されるgem_closeがオブジェクトを削除し、ひとつのハンドルを除去しつつもう一方を残してしまいます。その結果、使用後解放(use-after-free)の問題が発生する可能性がありました。この問題を修正するために、gem_close自身が行う処理と同様の手順を実施します(f6cd7daecff5 drm: ドライバーの参照を解放して再利用可能にする前の処理)。まずidr_replaceで古いハンドルをNULLに置き換えます。prime操作が成功した場合にのみ、実際にそれをクローズします。create_tailにも同様の問題を避けるために同様の処理を行う必要がありました(bd46cece51a3 drm/gem: drm_gem_handle_create_tail()の競合状態を修正)。この関数はidr_allocで新しいハンドルをNULLに設定し、その後に正しいオブジェクトを差し替えることで競合を避けています。ここではdrm_primeが唯一の競合する操作ですが、change_handleは処理全体を通じてprimeロックを保持しているため、この方法は必要ありません。v2ではエラー経路のクリーンアップが行われました。

Linuxカーネルにおいて、以下の脆弱性が修正されました: spi: mpc52xxのunbind時に発生するuse-after-freeの問題が修正されました。状態機械の作業は割り込みハンドラによってスケジュールされるため、割り込みを無効化した後にキャンセルし、潜在的なuse-after-freeを回避します。

Linuxカーネルにおいて、以下の脆弱性が修正されました。sctp: SCTP_SENDALL内のsctp_sendmsg_to_asoc()呼び出し後にリストカーソルを再検証します。sctp_sendmsg()のSCTP_SENDALLパスは、list_for_each_entry_safe()でep-asocsを反復処理し、ループ内でsctp_sendmsg_to_asoc()を呼び出します。この関数はsctp_wait_for_sndbuf()内でソケットロックを一時的に解放する可能性があります。ロックが解放されている間に、別のスレッドが関連付けを移動または解放することがあり、その結果ループのイテレータが解放済みのデータを参照し、use-after-freeや型混同が発生します。この問題により、型混同を起因とした制御可能な間接呼び出しが引き起こされる可能性があります。修正はsctp_sendmsg_to_asoc()の戻り後にイテレータを再取得し、関連付けの存在を再検証することで行いました。これにより、セキュリティ上の問題を防止します。

Linuxカーネルのmediaサブシステムにあるirisドライバーで、iris_release_internal_buffers()関数の使用後解放に関する脆弱性が修正されました。コミット1dabf00ee206によってバッファ解放の順序が変更され、その結果、使用後にバッファが参照される回帰が発生していました。この問題は、session_release_buf()を呼び出す前にBUF_ATTR_PENDING_RELEASEフラグを設定し、呼び出しに失敗した場合はフラグを元に戻す対策によって修正されました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。spi: mpc52xxにおける登録失敗時の使用後解放（use-after-free）を修正しました。コントローラの登録が失敗した場合には、割り込みを無効化し解放することで、潜在的な使用後解放およびリソースリークを防止します。この問題は、Sashikoがコントローラの登録解除修正をレビューした際に指摘されました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。eventpollのep_removeにおけるstruct eventpollおよびstruct fileのUse-After-Free（UAF）問題に対する修正です。ep_remove()（ep_remove_file()経由）ではfile-f_lockの下でfile-f_epをクリアしましたが、その後もクリティカルセクション内で@fileを使用し続けていました（is_file_epoll()やhlist_del_rcu()をhead経由で呼び出し、spin_unlockを行っていました）。同時に動作していた__fput()はeventpoll_release()の高速パスを経由し、その過程で一時的にNULLとなったfile-f_epを観察し、eventpoll_release_file()をスキップしてf_op-releaseおよびfile_free()を実行していました。epoll-watches-epollのケースでは、f_op-releaseはep_eventpoll_release() - ep_clear_and_put() - ep_free()となり、これが監視中のstruct eventpollをkfree()します。この中の埋め込みメンバのrefsにあるhlist_headはepi-fllink.pprevが指している場所と同一であり、その後のhlist_del_rcu()の「*pprev = next」により、解放済みのkmalloc-192メモリが上書きされる問題がありました。さらにstruct fileはSLAB_TYPESAFE_BY_RCUであるため、ep_remove()がまだそのロック内にいる間に、@fileを裏付けるスロットがalloc_empty_file()により再利用され、f_lockとf_epが再初期化される可能性があります。つまり、攻撃者が制御可能なkmem_cache_free()が誤ったスラブキャッシュに対して実行される事態が発生する恐れがありました。修正では、ep_remove()の先頭でepi_fget()により@fileをピン留めし、ピン留めが成功した場合にのみクリティカルセクションに入るようにしました。ピン留めした状態の@fileは参照カウントがゼロにならず、__fput()の実行を抑制します。これにより、監視されているstruct eventpollがhlist_del_rcu()およびf_lockの使用を跨いで有効な状態に保たれ、両方のUse-After-Freeを防止します。もしピン留めが失敗した場合は、@fileはすでに参照カウントゼロに達しており、__fput()が進行中です。f_epをクリアする前に早期リターンしているため、その経路はeventpoll_release()のスローパスであるeventpoll_release_file()を通り、ep-mtx上で待機し、待機側のep_clear_and_put()がロックを解放するのを待ちます。早期リターンしたepiのep-refcountのシェアは維持されているため、ep_clear_and_put()の最後のep_refcount_dec_and_test()はeventpoll_release_file()の動作中にeventpollを強制解放しません。孤立したepiはそこで適切にクリーンアップされます。ピン留め成功はまた、このepiに対してeventpoll_release_file()と競合していないことも証明するため、f_lock下のepi-dyingを再チェックしていた冗長な処理を削除しました。安価なロックなしのREAD_ONCE(epi-dying)による高速パスでの早期リターンはそのまま残します。

WindowsカーネルにおけるUse after freeの脆弱性により、権限を持つ攻撃者がローカルで特権を昇格させることが可能です。

ファイルハンドルが既に使い切られている場合に、Apache HTTP Serverのmod_http2モジュールでUse After Freeの脆弱性が発生します。この問題は、Apache HTTP Serverのバージョン2.4.55から2.4.67に影響を与えます。

Linux上のGoogle ChromeのOzoneにおける149.0.7827.103より前のバージョンにはUse after freeの脆弱性がありました。この脆弱性により、リモートの攻撃者が細工されたHTMLページを介してヒープ破損を悪用する可能性がありました。Chromiumのセキュリティ重大度は高いと評価されています。

Google Chrome 149.0.7827.53 以前の拡張機能において、use after free の脆弱性により、リモートの攻撃者が細工された HTML ページを介してサンドボックス内で任意のコードを実行できる可能性がありました。Chromium のセキュリティ重大度は低いと評価されています。

Google Chromeのバージョン149.0.7827.53より前のWebRTCにUse after freeの脆弱性が存在し、リモートの攻撃者が細工されたHTMLページを介してサンドボックス内で任意のコードを実行できる可能性があります。

Google Chromeの149.0.7827.53以前のバージョンに存在するPDFのUse after freeの脆弱性により、リモート攻撃者が特定のUI操作をユーザーに行わせるよう仕向け、細工されたPDFファイルを介してサンドボックス内で任意のコードを実行できる可能性があります。

Google Chrome 149.0.7827.53より前のバージョンのWebRTCにおいて、Use after freeの脆弱性が存在していました。この脆弱性により、リモートの攻撃者が細工されたHTMLページを介してサンドボックス内で任意のコードを実行できる可能性がありました。

Google Chrome 149.0.7827.53 未満のバージョンの WebRTC に存在する Use after free の脆弱性により、リモートの攻撃者が細工された HTML ページを介してサンドボックス内で任意のコードを実行する可能性があります。

Google Chrome 149.0.7827.53より前のバージョンのActorにおけるUse after freeの脆弱性により、リモートの攻撃者が細工されたHTMLページを介してサンドボックス内で任意のコードを実行できる可能性があります。

Google Chrome 149.0.7827.53より前のバージョンのMimeHandlerViewにおけるUse after freeの脆弱性により、リモートの攻撃者が細工されたHTMLページを介してサンドボックス内で任意のコードを実行する可能性がありました。

Google Chrome 149.0.7827.103以前のOzoneにおいて、Use after freeの脆弱性が存在し、遠隔の攻撃者が細工されたHTMLページを介してヒープ破損を悪用できる可能性がありました。この脆弱性の重大度はChromiumで重大と評価されています。

Google Chromeのバージョン149.0.7827.103以前において、ファイル入力のUse after freeの脆弱性により、リモートの攻撃者が細工されたHTMLページを介してヒープ破損を引き起こす可能性がありました。

Google ChromeのWindows版149.0.7827.103以前のバージョンにあるAuraのUse after freeの脆弱性により、レンダラープロセスが侵害される可能性がありました。リモート攻撃者は、細工されたHTMLページを通じてサンドボックスのエスケープを実行できる可能性があります。

Google Chrome 149.0.7827.103 未満の TabStrip における Use after free の脆弱性により、リモートの攻撃者が特定の UI ジェスチャーをユーザーに実行させることで、細工された HTML ページを介して任意のコードを実行できる可能性があります。

Mac向けのGoogle Chromeバージョン149.0.7827.103以前のBluetoothにおけるUse after freeの脆弱性により、リモートの攻撃者が悪意のある周辺機器を通じて任意のコードを実行する可能性がありました。

Mac版Google Chrome149.0.7827.103以前のBluetoothにおけるUse after freeの脆弱性により、リモート攻撃者が細工されたHTMLページを介してレンダラープロセスを侵害し、サンドボックスを脱出できる可能性がありました。