脆弱性情報（JVN）検索・一覧

Linuxカーネルにおいて、次の脆弱性が修正されました：net: macbで統計情報に現在のキュー番号を使用する問題があります。統計情報用に確保されたメモリと実際に書き込まれるメモリ量に不一致が発生する可能性があります。gem_get_sset_count()はアクティブなキュー数に基づいて正しく統計数を計算しますが、gem_get_ethtool_stats()は最大キュー数を使って無差別にデータをコピーします。その結果、アクティブなキュー数がMACB_MAX_QUEUES未満の場合、KASANが検出したとおりOOB（境界外）書き込みが発生します。具体的なエラーはKASANのvmalloc-out-of-boundsであり、ethtoolタスクによる760バイトの書き込みが原因です。問題のアドレスは1ページのvmalloc領域に属しており、dev_ethtool関数で割り当てられています。修正はコピーされるサイズをアクティブなキュー数のみに基づくようにして問題を解決しています。

Linuxカーネルにおいて、iavfドライバーのiavf_get_ethtool_stats()関数で境界外書き込みの脆弱性が修正されました。iavfは誤ってreal_num_tx_queuesを使用していましたが、これは実行時に変化する可能性があり、安全なnum_tx_queuesを用いるべきでした。これにより、ethtoolの一部操作を同時に行った場合に境界外書き込みが発生し、メモリの破損やシステムの不安定化を引き起こす可能性がありました。関連する関数で不変なnum_tx_queuesを使用することで、この問題を解決しています。

LanSpy 2.0.1.159には、スキャンセクションにローカルバッファオーバーフローの脆弱性が存在し、これを悪用することでローカルの攻撃者が構造化例外処理（SEH）機構を利用して任意のコードを実行できます。攻撃者はegghunter技術を用いて悪意のあるペイロードを作成し、シェルコードを特定して実行し、SEHチェーンの操作と制御されたジャンプによってコード実行を引き起こすことが可能です。

LanSpy 2.0.1.159にはローカルのバッファオーバーフロー脆弱性があり、スキャンフィールドに過剰な入力を供給することで、攻撃者が命令ポインタを上書きできます。この脆弱性を利用すると、攻撃者は688バイトのパディングの後に4バイトの制御されたデータを含むペイロードを作成して、アプリケーションをクラッシュさせるか、潜在的にコード実行を達成できます。

Labcenter Electronics ProteusのPDSPRJファイル解析における境界外書き込みにより、リモートコード実行が可能となる脆弱性です。この脆弱性を利用すると、リモートの攻撃者はLabcenter Electronics Proteusの影響を受けるインストール環境上で任意のコードを実行できます。攻撃を成立させるにはユーザーの操作が必要であり、ターゲットが悪意のあるページを訪問するか、悪意のあるファイルを開く必要があります。問題の脆弱性はPDSPRJファイルの解析処理に存在し、ユーザー提供データの適切な検証が行われていないため、割り当てられたバッファの末尾を越える書き込みが発生します。攻撃者はこの脆弱性を利用して、現在のプロセスのコンテキストでコードを実行できます。この問題はZDI-CAN-25718として報告されています。

Labcenter Electronics ProteusのPDSPRJファイル解析における境界外書き込みによるリモートコード実行の脆弱性です。この脆弱性により、遠隔の攻撃者がLabcenter Electronics Proteusの影響を受けるインストール環境で任意のコードを実行できます。この脆弱性を悪用するには、対象ユーザーが悪意のあるページを訪問するか、悪意のあるファイルを開くなどの操作を行う必要があります。具体的な欠陥はPDSPRJファイルの処理に存在し、ユーザーから提供されたデータの適切な検証が行われないため、割り当てられたバッファの末尾を超える書き込みが発生します。攻撃者はこの脆弱性を利用して、現在のプロセスの権限でコードを実行できます。以前はZDI-CAN-25719として識別されていました。

Labcenter Electronics ProteusのPDSPRJファイル解析における境界外書き込みの脆弱性により、リモートコード実行が可能となる脆弱性です。この脆弱性により、遠隔の攻撃者がLabcenter Electronics Proteusの影響を受けるインストール環境上で任意のコードを実行できます。この脆弱性を悪用するには、ターゲットが悪意のあるページを訪問するか、悪意のあるファイルを開くなどのユーザー操作を行う必要があります。具体的な欠陥はPDSPRJファイルの処理に存在し、ユーザーから提供されたデータが適切に検証されていないため、割り当てられたバッファの末尾を越えた書き込みが発生します。攻撃者はこの脆弱性を悪用して、現在のプロセスのコンテキストでコードを実行できます。元はZDI-CAN-25720の脆弱性です。

Linuxカーネルにおいて、以下の脆弱性が修正されました：bpfにおけるINT_MINに対するインタプリタのsdiv/smodの未定義動作を修正しました。BPFインタプリタの符号付き32ビット除算および剰余の処理では、s32オペランドに対してカーネルのabs()マクロを使用しています。abs()マクロのドキュメント（include/linux/math.h）には、入力が型の最小値の場合、結果が未定義であると明記されています。DSTがS32_MIN（0x80000000）を含む場合、abs((s32)DST)は未定義動作を引き起こし、arm64/x86上でS32_MINをそのまま返します。この値はその後符号拡張されてu64の0xFFFFFFFF80000000となり、do_div()で誤った結果を算出します。検証器の抽象解釈（scalar32_min_max_sdiv）は範囲追跡のために数学的に正しい結果を計算しており、これが検証器とインタプリタ間の不一致を生み、境界外のマップ値アクセスが悪用される可能性があります。abs_s32()を導入し、符号付きオーバーフローを完全に回避するために、S32_MINを符号なしのu32にキャストしてから符号反転を行う形で正しく処理します。インタプリタのsdiv32/smod32ハンドラ内のabs((s32)...)の呼び出し箇所8か所をすべて置き換えています。s32のみが影響を受け、s64の除算/剰余ハンドラではabs()を使用していません。

Firefox ESR 115.34、Firefox ESR 140.9、Thunderbird ESR 140.9、Firefox 149、およびThunderbird 149に存在するメモリ安全性のバグです。これらのバグのいくつかはメモリ破損の証拠を示しており、十分な努力をすれば任意のコードを実行する目的で悪用される可能性があります。この脆弱性はFirefox 150、Firefox ESR 115.35、Firefox ESR 140.10、Thunderbird 150、およびThunderbird 140.10で修正されました。

Firefox ESR 140.9、Thunderbird ESR 140.9、Firefox 149、および Thunderbird 149にはメモリ安全性に関するバグが存在します。これらのバグの一部はメモリ破損の証拠を示しており、十分な努力があれば任意のコードを実行する目的で悪用される可能性があると推測されます。この脆弱性は Firefox 150、Firefox ESR 140.10、Thunderbird 150、および Thunderbird 140.10で修正されています。

River Past Video Cleaner 7.6.3には、構造化例外ハンドラのバッファオーバーフローの脆弱性があり、ローカルの攻撃者がLame_enc.dllフィールドに悪意のある文字列を提供することで任意のコードを実行可能です。攻撃者は280バイトのパディング、構造化例外ハンドラの上書き、およびシェルコードを含むペイロードを作成し、アプリケーションが入力を処理する際にコード実行を引き起こします。

Linuxカーネルにおいて、以下の脆弱性が修正されました。hwmon: (macsmc) Apple Silicon SMC hwmonドライバーの回帰バグを修正しました。直近で追加されたmacsmc-hwmonドライバーには、センサー登録ロジックおよび浮動小数点変換ルーチンに複数の重大なバグが含まれていました。具体的には、電圧センサーの登録ループで誤ったプレフィックス（"volt-"ではなく"voltage-"）が使われており、さらにセンサーを温度センサー配列（hwmon-temp.sensors）に誤って割り当てていたため、温度と電圧のセンサーが共に存在する場合にメモリの境界外アクセスやデータ破損が発生する可能性がありました。また、macsmc_hwmon_write_f32()の浮動小数点変換処理では、2^24以上の値に対する指数部のロジックに問題があり、かつ仮数部のマスクが不足していたため、SMCに誤った値が書き込まれる恐れがありました。これらの問題を修正することで、正しいセンサー登録と信頼性のある手動ファン制御を実現しています。さらに、FIELD_PREPで報告されていたオーバーフローはmacsmc_hwmon_write_f32()を__always_inlineとして宣言しコンパイルテストを行うことで修正を確認しました。

Linuxカーネルにおいて、xskのフラグメントノードの削除方法を修正し、バッファリークの問題を防止しました。コミットb692bf9a7543でlist_nodeフィールドが複数のリストで再利用されるようになりましたが、list_del()の使用によりノードが正しく再初期化されず、list_empty()が誤った結果を返してバッファの解放リストへの追加がスキップされる問題が発生していました。この問題は、すべてのフラグメント処理パスでlist_del()の代わりにlist_del_init()を使用することで解決され、ノードが削除後に適切に再初期化されるようになりました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。xdpでは計算されたtailroomが負の値の場合に警告を出します。多くのイーサネットドライバーはxdpのRxキューのfragサイズをDMA書き込みサイズと同じ値として報告しています。しかし、このフィールドの唯一のユーザーであるbpf_xdp_frags_increase_tail()はtruesizeを期待しています。この不一致により、特定の状況下で不特定のメモリ破損問題が発生します。例えば、ixgbevfでは最大DMA書き込みサイズが3KBであり、xskxceiverのXDP_ADJUST_TAIL_GROW_MULTI_BUFFを実行すると、6KBパケットが2つのバッファのDMA書き込み可能領域全てを使い切ります。本来であればrxq-frag_sizeは4KBに設定されるべきですが、3KBの値のままだと非ゼロのページオフセットが存在するためtailroomが負になります。この場合は-EINVALを返すべきですが、tailroomが符号なし整数として保存されているためUINT_MAX付近の大きな値が報告され、要求オフセットが大きすぎる場合でもtailが成長してしまいます（上記テストでは約2KB）。これが後にさまざまな不特定のコールトレースの原因となります。ログの例としてxskxceiverのセグフォルトや一般保護例外が記録されており、CPUやメモリ状態の詳細も含まれています。

Linuxカーネルにおいて、次の脆弱性が修正されました：bpfのdevmapにおけるスタック境界外書き込みの問題です。get_upper_ifindexes()関数はすべての上位デバイスを反復処理し、そのインデックスを配列に書き込みますが、境界チェックを行っていませんでした。また、呼び出し元は上位デバイスの最大数をMAX_NEST_DEVと仮定し、excluded_devices[1+MAX_NEST_DEV]をスタック上に割り当てていましたが、この仮定は正しくありません。上位デバイスの数はMAX_NEST_DEVを超える場合があり（例：多数のmacvlan）、これによりスタックの境界外書き込みが発生していました。この問題を回避するために、get_upper_ifindexes()にmaxパラメータを追加しました。上位デバイスが多すぎる場合は-EOVERFLOWを返し、リダイレクトを中止します。再現方法としては、XDPプログラムがBPF_F_BROADCAST | BPF_F_EXCLUDE_INGRESSオプションでアタッチされたデバイス上にMAX_NEST_DEV(8)を超えるmacvlanを作成し、そのデバイスにパケットを送信すると、XDPのリダイレクト経路がトリガーされることを確認しました。

LinuxカーネルのPCIエンドポイントドライバにおいて、MSI-X割り込みの書き込みがアウトバウンドATUエントリのマッピング解除前にフラッシュされない問題がありました。そのため、ホストメモリが破損したり、IOMMUエラーが発生したりする可能性がありました。この脆弱性は、ATUエントリのマッピングを解除する前にreadl()で書き込みをフラッシュすることで修正されました。

Linuxカーネルにおいて、以下の脆弱性が修正されました：net/schedのact_ifeにおけるmetalistの更新動作の修正です。ifeアクションの置換時にmetalistを変更する際、従来のコードはmetalist上の古いデータを置き換えるのではなく、新しいメタデータを追加していました。この不適切な動作が原因で、metalistに無限にメタデータが追加され、エンコード処理実行時に境界外エラーが発生する可能性がありました。具体的には、ife_tlv_meta_encode関数(net/ife/ife.c:168)でKASANのスラブ境界外書き込みバグが発生していました。この問題を解決するために、ifeのRCUデータ構造にmetalistを追加し、置換動作を修正しました。

Linuxカーネルにおいて、tracing/dmaのdma_map_sgトレースポイント配列のサイズ制限によりバッファオーバーフローを防止する修正が行われました。大量のスキャッターゲザーリストがperfバッファのオーバーフローを引き起こす問題に対処しています。具体的には、virtio-gpuなどのデバイスで大きなDRMバッファが作成され、1000を超えるエントリ数がある場合に、物理アドレス配列やdmaアドレス配列、長さ配列の合計サイズが約2万バイトとなり、PERF_MAX_TRACE_SIZEの8192バイトを超えて警告が発生していました。これを防ぐためにmin関数を用いて128エントリに制限し、必要な分だけメモリを確保することで、小規模操作での無駄な割当てを避け、大規模操作でのオーバーフローを防止しています。また、トレースポイントはエントリ数とトランケートフラグを記録し、データが制限されたかどうかをユーザーが確認できるようにしています。v2では動的配列サイズ決定にmin(nents, DMA_TRACE_MAX_ENTRIES)を用い、フィードバックを反映して改善しました。レビュアーはSean Anderson氏です。

Linuxカーネルでは、以下の脆弱性が修正されました。dpaa2-switchのIRQハンドラで不正なif_idを受信した後に発生する割り込み嵐を修正しました。コミット31a7a0bbeb00（"dpaa2-switch：IRQハンドラ内のif_idに対する範囲チェックを追加"）は、範囲外アクセスを防止するためにif_idの範囲チェックを導入しました。範囲外のif_idが検出された場合、割り込みステータスがクリアされなかったため、割り込み嵐が発生する可能性がありました。問題を回避するために、範囲外のif_idを検出した後に割り込みステータスをクリアするようにしています。この問題はGoogleの実験的なAIコードレビュエージェントによって発見されました。

Firebirdはオープンソースのリレーショナルデータベース管理システムです。バージョン5.0.4、4.0.7、および3.0.14より前のバージョンでは、認証時にCNCT_specific_dataセグメントを処理する際、サーバーはセグメントが厳密に昇順で到着すると仮定しています。セグメントが順不同で到着すると、Arrayクラスのgrow()メソッドが負のサイズ値を計算し、SIGSEGVクラッシュを引き起こします。サーバーのIPとポートのみを知っている認証されていない攻撃者が、この脆弱性を悪用してサーバーをクラッシュさせる可能性があります。この問題はバージョン5.0.4、4.0.7、および3.0.14で修正されています。

Firefox 149およびThunderbird 149に存在するメモリ安全性のバグです。一部のバグはメモリ破損の証拠を示しており、十分な努力を払えば任意のコードを実行するために悪用される可能性があると推定されています。この脆弱性はFirefox 150およびThunderbird 150で修正されました。

Fortinet FortiWeb 8.0.0から8.0.3、FortiWeb 7.6.0から7.6.6、FortiWeb 7.4.0から7.4.11に存在する境界外書き込みの脆弱性（CWE-787）により、リモートの権限を持つ攻撃者が特殊に細工されたHTTPリクエストを介して任意のコードやコマンドを実行できる可能性があります。