脆弱性情報（JVN）検索・一覧

Google Chromeのバージョン149.0.7827.53以前のANGLEにおいて、境界外の読み取りおよび書き込みが発生する脆弱性がありました。この脆弱性により、リモートの攻撃者が細工されたHTMLページを利用してサンドボックスから脱出できる可能性がありました。

AndroidのGoogle Chromeバージョン149.0.7827.53より前のGPUにおける境界外書き込みの脆弱性により、リモートの攻撃者が細工されたHTMLページを介してサンドボックスを回避できる可能性がありました。

AndroidのGoogle Chrome 148.0.7778.216以前のバージョンにおいて、GPUの境界外書き込みの脆弱性により、リモートの攻撃者が細工されたHTMLページを利用してサンドボックスを回避できる可能性がありました。

Google Chrome 148.0.7778.216より前のバージョンにおいて、GPUの境界外書き込みの脆弱性により、リモートの攻撃者が細工されたHTMLページを利用してサンドボックスから脱出できる可能性がありました。

FreeRDPはリモートデスクトッププロトコルの無料実装です。バージョン3.26.0以前のFreeRDPのプラナービットマップデコーダーには、RLEプラナーデータのデコード時にヒープの境界外書き込みが発生する脆弱性が存在します。libfreerdp/codec/planar.c内のfreerdp_bitmap_decompress_planar()関数は、呼び出し元が提供する宛先ストライド(nDstStep)に対してX方向の宛先座標nXDstを検証していますが、内部の一時バッファpTempDataに書き込む際にも同様の検証を行っています。このチェックは大きなnDstStepと大きなnXDstを使うことで回避可能であり、その結果planar_decompress_plane_rle()がpTempDataの末尾を越えて書き込んでしまいます。この脆弱性はバージョン3.26.0で修正されました。

Samsung Open Source Escargotにおける境界外書き込み脆弱性により、バッファオーバーフローが発生する可能性があります。この脆弱性はEscargotのバージョン590345cc6258317c5da850d846ce6baaf2afc2d3に影響を与えます。

FastNetMon Community Edition バージョン1.2.9までの dynamic_binary_buffer_t クラス（src/dynamic_binary_buffer.hpp）には、オフバイワンのヒープベースのバッファオーバーフローが含まれています。5つのメソッド（append_dynamic_buffer、append_data_as_pointer、append_data_as_object_ptr、memcpy_from_ptr、memcpy_from_object_ptr）は、正しいチェックである「if (offset + length maximum_internal_storage_size)」の代わりに誤った境界チェック「if (offset + length maximum_internal_storage_size + 1)」を使用しています。これにより、ヒープに割り当てられたバッファの末尾をちょうど1バイト超えて書き込みが行われる可能性があります。このクラスは BGP メッセージのエンコード/デコード、NetFlow テンプレート処理、および Flow Spec NLRI 構築に広く利用されています。攻撃者が FastNetMon インスタンスに対して（NetFlow、sFlow、IPFIX、または BGP の）ネットワークトラフィックを送信できる場合、このオーバーフローを引き起こし、ヒープメタデータを破損させることで任意のコード実行を達成する可能性があります。なお、append_byte() メソッドは正しい境界チェックを使用しており、この不整合を確認しています。

KittyはクロスプラットフォームのGPUベースのターミナルです。バージョン0.46.2以下では、kitty/graphics.cのhandle_compose_command()関数が符号なし32ビット算術演算を用いてオフセットの範囲検証を行っており、その過程で整数のラップアラウンドが発生する可能性があります。これによりヒープバッファのオーバーリードや書き込みが生じる恐れがあります。悪意のあるファイル、SSHログインバナー、またはパイプされたコンテンツを介してkittyターミナルにエスケープシーケンスを書き込める攻撃者は、ラップアラウンド後に範囲チェックを通過するよう細工したx_offsetやy_offset値を供給し、compose_rectangles()関数で大規模な範囲外ヒープメモリアクセスを引き起こすことが可能です。ユーザーの操作やデフォルト以外の設定は不要であり、攻撃者にはkittyターミナルウィンドウに出力を生成する能力のみが必要です。この問題はバージョン0.47.0で修正されました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。nfsdにおけるNFSv4.0 LOCKリプレイキャッシュのヒープオーバーフローが修正されました。NFSv4.0のリプレイキャッシュは、エンコードされた操作応答を格納するために固定長の112バイトのインラインバッファ（rp_ibuf[NFSD4_REPLAY_ISIZE]）を使用しています。このサイズはOPEN応答に基づいて計算されており、最大1024バイトの可変長フィールドを含むLOCK拒否応答の変数長の競合ロック所有者を考慮していません（NFS4_OPAQUE_LIMIT）。既存の大きな所有者を持つロックと競合してLOCK操作が拒否された場合、nfsd4_encode_operation()は境界チェックなしにread_bytes_from_xdr_buf()を介して完全なエンコード応答を不足したリプレイバッファにコピーします。これにより、バッファの終わりから最大944バイトのスラブ外書き込みが発生し、隣接するヒープメモリが破損する恐れがあります。この問題は、2つの協調するNFSv4.0クライアントによってリモートから認証なしで悪用可能です。1つは大きな所有者文字列を持つロックを設定し、もう1つは競合するロックを要求して拒否を引き起こします。NFSD4_REPLAY_ISIZEを増やして完全な不透明フィールドを許容する方法もありますが、多くのロック所有者はそこまで大きくないため、すべてのstateownerのサイズが増加してしまいます。代わりに、リプレイバッファにコピーする前にエンコード応答の長さをNFSD4_REPLAY_ISIZEと比較して検査し、応答が大きすぎる場合はrp_buflenを0に設定してリプレイペイロードのキャッシュをスキップすることで修正しています。ステータスは引き続きキャッシュされ、クライアントは最初のリクエストで正しい応答を既に受け取っています。

Tenda AC6 15.03.06.49_multi_TDE01にセキュリティ上の脆弱性が発見されました。影響を受けるのはhttpdコンポーネントの/goform/WifiExtraSetファイル内のfromSetWirelessRepeat関数です。macおよびssid引数の操作によりOSコマンドインジェクションが発生します。この攻撃はリモートから実行可能です。エクスプロイトが公開されており、攻撃に悪用される可能性があります。

Linuxカーネルにおいて、以下の脆弱性が修正されました：ipv6: ioam: __ioam6_fill_trace_data()におけるヒープバッファオーバーフローの問題を修正しました。受信パスで、__ioam6_fill_trace_data()はtrace-nodelenを使って各ノードに書き込むデータの量を決定しますが、このフィールドを着信パケットの内容そのままで信頼し、trace-type（どのデータ項目が存在するかを示す24ビットフィールド）との整合性チェックを行っていませんでした。細工されたパケットがnodelenを0に設定しつつ、typeのビット0-21を設定すると、この関数は割り当てられた領域（skb_shared_info内）から約100バイト超過して書き込みを行い、隣接するヒープメモリを破壊し、カーネルパニックを引き起こします。対策として、ioam6.cに共有ヘルパー関数ioam6_trace_compute_nodelen()が追加され、typeフィールドから期待されるnodelenを導出し、以下の箇所で使用されています。・ioam6_iptunnel.c（送信パス、既存のバリデーション）では手作業の計算を置き換えています。・exthdrs.c（受信パス、ipv6_hop_ioam）では、データ書き込み前にnodelenがtypeフィールドと矛盾するパケットを破棄します。RFC 9197によれば、ビット12-21はそれぞれ4オクテットの短いフィールドであり、IOAM6_MASK_SHORT_FIELDSは0xff100000から0xff1ffc00に変更されています。

Linuxカーネルにおいて、以下の脆弱性が修正されました。net: do not pass flow_id to set_rps_cpu()。問題のあるコミットは、各受信キューのRPSテーブルのサイズが同じであり、そのサイズが変わらないことを前提にしていました。set_rps_cpu()内でflow_idを計算し、get_rps_cpu()で計算された値を使用できると仮定しないように修正しました。そうしないと、範囲外アクセスやクラッシュのリスクが発生します。

Linuxカーネルにおいて、以下の脆弱性が修正されました。dlm_search_rsb_tree関数における長さの検証が不足していました。具体的には、dlm_dump_rsb_name()のlenパラメータは検証されず、ネットワークメッセージから直接取得されていました。もしこの値がDLM_RESNAME_MAXLENを超える場合、dlm_search_rsb_tree()内で境界外書き込みが発生する可能性があります。潜在的なバッファオーバーフローを防ぐために、長さの検証を追加しました。

Palo Alto NetworksのPAN-OSソフトウェアにおけるUser-ID認証ポータル（別名Captive Portal）サービスにバッファオーバーフローの脆弱性があります。この脆弱性により、認証されていない攻撃者が特別に細工されたパケットを送信すると、PA-SeriesおよびVM-Seriesファイアウォール上でroot権限の任意のコードを実行できる可能性があります。この問題のリスクは、ベストプラクティスガイドラインhttps://knowledgebase.paloaltonetworks.com/KCSArticleDetailに従い、User-ID認証ポータルへのアクセスを信頼できる内部IPアドレスのみに制限することで大幅に低減されます。Prisma Access、Cloud NGFW、およびPanoramaアプライアンスはこの脆弱性の影響を受けません。

Linuxカーネルにおいて、以下の脆弱性が修正されました。ksmbdのsmb2_get_ea()関数のEAアライメントにおける境界外書き込みの問題を修正しました。smb2_get_ea()は各EAエントリを書き込んだ後にmemset()を用いて4バイト境界のパディングを適用します。buf_free_lenの境界チェックはmemcpyの前に行われますが、その後のアライメントmemsetは残りのスペースを確認せずに無条件で実行されます。EA値がちょうど残りのバッファを満たす場合（buf_free_lenが値の減算後に0になる場合）、アライメントmemsetはbuf_free_lenの境界を1〜3バイト超えてNULLバイトを書き込みます。複数コマンドで応答バッファが共有される複合リクエストでは、最初のコマンド（例：READ）がバッファの大部分を消費し、QUERY_INFOのEA応答に非常にわずかな空きしか残さないことがあります。この時、アライメントmemsetは物理的なkvmalloc割り当てを超えて隣接するカーネルヒープメモリを上書きします。そこで、アライメントmemsetの前に境界チェックを追加し、buf_free_lenがパディングバイトを格納できることを保証しました。このバグパターンはcommit beef2634f81f（"ksmbd: fix potencial OOB in get_file_all_info() for compound requests"）およびcommit fda9522ed6af（"ksmbd: fix OOB write in QUERY_INFO for compound requests"）で修正されたものと同様であり、両者ともQUERY_INFO応答ハンドラに無条件書き込み前の境界チェックを追加しています。

hashcat v7.1.2のsrc/rp_cpu.c内のmangle_to_hex_lower()およびmangle_to_hex_upper()に存在するスタックベースのバッファオーバーフローにより、攻撃者は細工されたルールファイルや128文字以上のパスワード候補とともに使用される-jまたは-kルールオプションを通じて、サービス拒否を引き起こすか、任意のコードを実行する可能性があります。この脆弱性は、パスワードバイトが16進数に変換される際に2倍の拡張を考慮していない境界チェックの失敗によって生じます。

hashcat v7.1.2のKerberosハッシュパーサーにおけるヒープベースのバッファオーバーフローにより、攻撃者が細工されたKerberosハッシュファイルを通じてサービス拒否（DoS）を引き起こしたり、場合によっては任意のコードを実行したりする可能性があります。この問題は、複数のKerberos関連モジュールのmodule_hash_decodeに影響を及ぼし、account_info_lenが信頼できない区切り文字の位置から計算されるため、上限検証なしにmemcpyが固定サイズのaccount_infoバッファにデータをコピーしてしまうことに起因します。

hashcat v7.1.2 の PKZIP ハッシュパーサ内の hex_to_binary におけるヒープベースのバッファオーバーフローにより、攻撃者は細工された PKZIP ハッシュファイルを介してサービス拒否を引き起こしたり、任意のコードを実行したりする可能性があります。この問題はモジュール 17200、17210、17220、17225、および 17230 に影響します。data_type_enum が 1 以下の場合、攻撃者が制御するユーザー提供のハッシュ文字列からの 16 進データが、適切な入力長検証なしに固定サイズのバッファにデコードされます。

Exim 4.99.2より前のバージョンにおいて、JSONルックアップが有効な場合、信頼できないヘッダー内の不正なJSONにJSONオペレーターが遭遇すると、バックスラッシュ（\）の処理が不適切に実装されているため、ヒープ上での境界外書き込みが発生する可能性があります。

GeoVision GV-VMS V20 20.0.2のWebCamサーバーログイン機能にスタックオーバーフローの脆弱性があります。特別に細工されたHTTPリクエストによって、任意のコードを実行できる場合があります。攻撃者は認証されていないHTTPリクエストを送信して、この脆弱性を悪用できます。

GeoVision GV-VMS V20 20.0.2のWebCamサーバーログイン機能にスタックオーバーフローの脆弱性があります。特別に細工されたHTTPリクエストにより、任意のコードを実行される恐れがあります。攻撃者は認証されていないHTTPリクエストでこの脆弱性を誘発できます。制限のないsscanfによるスタックオーバーフローについて説明します。sscanf呼び出しは、Buffer変数をusernameおよびpassword変数に分割しますが、抽出された内容のサイズを宛先バッファのサイズに制限していません。この場合、認証文字列からデコードされたユーザー名またはパスワードがいずれも40文字（スタック変数usernameおよびpasswordのサイズ）を超えると、スタックオーバーフローが発生します。データは攻撃者により制御されますが、ヌルバイト禁止などの強い制約があると悪用が難しくなる可能性があります。攻撃が成功すると、サービスを実行しているマシン上でSYSTEM権限として完全なコードを実行される恐れがあります。

Linuxカーネルにおいて、以下の脆弱性が修正されました。ip6_tunnelのip4ip6_err()関数内でskb2-cb[]をクリアしない問題がありました。Oskar Kjos氏より次の問題が報告されました。ip4ip6_err()はIPv6受信経路でstruct inet6_skb_parmとして書き込まれたcb[]を持つ複製されたskbを使い、icmp_send()を呼び出します。icmp_send()はIPCB(skb2)を__ip_options_echo()に渡しますが、ここでcb[]領域をIPv4としてstruct inet_skb_parmとして解釈します。レイアウトが異なるため、inet6_skb_parmのnhoff(オフセット14)はinet_skb_parmのopt.rrと重なり、非ゼロのrr値が生成されます。__ip_options_echo()はその後、攻撃者が制御するパケットデータsptr[rr+1]からoptlenを読み取り、固定長40バイトのスタックバッファ(IP_OPTIONS_DATA_FIXED_SIZE)であるdopt-__dataにそのバイト数をコピーします。この問題を修正するために、Oskar Kjosの提案に従ってskb2-cb[]をクリアしました。また、最小限のIPv4ヘッダ検証(version == 4かつihl = 5)も追加しました。

wolfSSLのCRLパーサーにおいて、CRL番号を解析する際に二つのバッファオーバーフロー脆弱性が存在しました。CRL番号を16進文字列として不適切に格納すると、ヒープベースのバッファオーバーフローが発生する可能性があります。また、十分なサイズのCRL番号に対してはスタックベースのオーバーフローが発生します。適切に細工されたCRLによって、これらの境界外書き込みのいずれかが引き起こされる可能性があります。この問題はCRLサポートを明示的に有効にしたビルドにのみ影響し、ユーザーが信頼できないソースからCRLを読み込む必要があります。

TLSX_EchChangeSNIにおいて、ctx-extensionsブランチはTLSX_FindがNULLを返した場合でも条件なしに拡張機能を設定していました。これにより、TLSX_UseSNIは内部SNIが構成されていない場合でも攻撃者が制御するpublicNameを共有WOLFSSL_CTXに添付してしまいました。TLSX_EchRestoreSNIはserverNameX != NULLによって削除を制限していたため、それをクリーンアップできませんでした。内部のClientHelloは汚染の前にサイズが決定されていましたが、その後に書き込まれたため、TLSX_SNI_Writeは割り当て境界を255バイト超えてmemcpyを行いました。

rust-opensslはRustプログラミング言語向けにOpenSSLバインディングを提供します。バージョン0.9.27から0.10.78未満の間、Deriver::derive（およびPkeyCtxRef::derive）はlen = buf.len()を設定し、これをEVP_PKEY_deriveへの入出力長さとして渡しており、OpenSSLがこれを尊重することに依存していました。OpenSSL 1.1.xでは、X25519、X448、DHおよびHKDF-extractは受信した*keylenを無視し、条件なく完全な共有秘密（32/56/素数サイズのバイト）を書き込みます。短いスライスを渡した呼び出し元は安全なコードからヒープやスタックのオーバーフローを引き起こします。OpenSSL 3.xのプロバイダーはこのチェックを行うため、この問題は古いOpenSSLにのみ影響します。この脆弱性は0.10.78で修正されました。

rust-opensslはRustプログラミング言語向けのOpenSSLバインディングを提供しています。バージョン0.10.78未満では、aes::unwrap_key()に誤ったアサーションが含まれていました。具体的には、out.len() + 8 = in_.len() をチェックしていますが、この条件は逆になっています。本来の不変条件は out.len() = in_.len() - 8 であり、これにより出力バッファが十分な大きさであることを保証します。逆になったチェックのため、この関数は最小必要サイズと同じかそれ以下のバッファしか受け入れず、大きいものは拒否します。より小さいバッファが提供された場合、関数は out の末尾を in_.len() - 8 - out.len() バイト分書き越してしまい、安全な公開関数からの境界外書き込みが発生します。この脆弱性はバージョン0.10.78で修正されました。

SamsungオープンソースEscargotにおける境界外書き込みの脆弱性によりバッファオーバーフローが発生します。この問題はEscargotのバージョン97e8115ab1110bc502b4b5e4a0c689a71520d335に影響を与えます。

Dell PowerProtect Data Domainのドメインオペレーティングシステム(DD OS)の機能リリースバージョン7.7.1.0から8.6、およびLTS2025リリースバージョン8.3.1.0から8.3.1.10、さらにLTS2024リリースバージョン7.13.1.0から7.13.1.60に、スタックベースのバッファオーバーフローの脆弱性が存在します。認証されていないリモート攻撃者がこの脆弱性を悪用すると、任意のコマンドを実行される可能性があります。

Linuxカーネルにおいて、usbip_pack_ret_submit()でnumber_of_packetsの検証が不十分だったため、悪意のあるUSB/IPサーバが不正なnumber_of_packetsを送り、urb-iso_frame_desc配列にヒープバッファオーバーフローが発生する可能性がありました。この脆弱性は、usbip_pack_ret_submit()でレスポンスのnumber_of_packetsを元のURBのnumber_of_packetsと比較し、上限を制限することで修正されました。これにより、usbip_recv_iso()やusbip_pad_iso()での配列走査が安全になり、潜在的なバッファオーバーフローが防止されます。

NICO-FTP 3.0.1.19には、構造化例外ハンドラにバッファオーバーフローの脆弱性が存在します。この脆弱性により、リモートの攻撃者が細工されたFTPコマンドを送信することで任意のコードを実行可能になります。攻撃者はFTPサービスに接続し、応答ハンドラに過剰なデータを送信してSEHポインタを上書きし、注入されたシェルコードの実行にリダイレクトできます。

GNU Cライブラリのバージョン2.7から2.43において、%mc（mallocによって割り当てられた文字列マッチ）を使ったscanfファミリーの関数呼び出しで、フォーマット幅指定子に明示的に1024より大きい幅を指定すると、ヒープバッファで1バイトのオーバーフローが発生する可能性があります。

JAD 1.5.8e-1kali1およびそれ以前のバージョンには、バッファの境界を超える過大な入力を与えることで任意のコードを実行できるスタックベースのバッファオーバーフロー脆弱性があります。攻撃者は8150バイトを超える悪意のある入力文字列を作成してスタックをオーバーフローさせ、リターンアドレスを書き換えることで、アプリケーションのコンテキスト内でシェルコードを実行できます。

Mesaのバージョン25.3.6以前および26.0.1以前では、WebGPUで割り当てるデータの量が信頼できない第三者に依存しているため、その後allocaで使用され、境界外メモリアクセスが発生する可能性があります。

wolfcrypt/src/asn.c の DecodeObjectId() において、ヒープの境界外書き込みが発生する可能性がある箇所が2つ存在しました。1つ目は、境界チェックが2つのOIDアーク値（out[0] と out[1]）を記述する前に1つの利用可能なスロットのみを検証しているため、outSz が1の場合に2バイトの境界外書き込みが発生する可能性があります。2つ目は、複数の呼び出し元が要素数 MAX_OID_SZ（32）ではなく sizeof(decOid)（64ビットプラットフォーム上で64バイト）を渡しているため、関数が33個以上のアークを持つ細工されたOIDを受け入れ、割り当てられたバッファの末尾を越えて書き込みを行う可能性がある問題です。

WasmtimeはWebAssemblyのランタイムです。バージョン25.0.0から36.0.7、42.0.2、および43.0.1の直前まで、WasmtimeでWinch（ベースライン）非デフォルトコンパイラー・バックエンドを使用した場合に、正しく構成されたゲストWasmがリニアメモリのサンドボックス外のホストメモリへアクセスできる可能性がありました。この脆弱性はWinchコンパイラー（-Ccompiler=winch）を使用することを前提としています。デフォルトでは、WasmtimeはWinchではなくCraneliftバックエンドを使用します。Winchを使用した場合、aarch64およびx86-64の両方で理論的に同じ誤った前提が存在します。aarch64の場合には動作するプルーフ・オブ・コンセプトが確認されていますが、x86-64の場合は理論的なものであり、実際には到達しない可能性があります。このWinchコンパイラーのバグにより、Wasmゲストはリニアメモリ領域の前後のメモリにアクセス可能となり、事前や事後のガード領域の設定の有無に影響されません。初期のバグのプルーフ・オブ・コンセプトでは、メモリ開始前最大32KiB、またはメモリ開始後約4GiBまでアクセス可能であり、ガード領域のサイズや明示的な境界チェックの有無に関係ありませんでした。しかし、この根本的なバグは64ビットレジスターに格納された32ビットメモリアドレスの上位ビットがクリアされているという誤った仮定に基づいているため、初期のプルーフ・オブ・コンセプトに近い変種がプロセス内で真に任意のメモリにアクセス可能かもしれません。これにより、ホストプロセスのセグメンテーションフォルト（DoS）、ホストからの任意データ漏洩、さらには書き込みが伴う場合に任意のリモートコード実行（RCE）が発生する可能性があります。この脆弱性はバージョン36.0.7、42.0.2、および43.0.1で修正されています。

DICOM画像デコーダにヒープバッファオーバーフローの脆弱性があります。次元フィールドは期待されるVR Unsigned Short (US)の代わりにValue Representation (VR) Unsigned Long (UL)でエンコードされており、これにより非常に大きな次元を処理できます。このため、フレームサイズの計算時に整数オーバーフローが発生し、画像デコード中に境界外のメモリアクセスが生じます。

DICOM画像の「PALETTE COLOR」デコード中にヒープバッファオーバーフローの脆弱性が存在します。ピクセル長の検証では、幅と高さの計算に32ビットの乗算を使用しています。これらの値がオーバーフローした場合、検証チェックが誤って成功し、デコーダが割り当てられたバッファを超えてメモリの読み書きを行うことが可能になります。

Samsungのモバイルプロセッサ、ウェアラブルプロセッサ、およびモデムであるExynos 980、990、850、1080、2100、1280、2200、1330、1380、1480、2400、1580、2500、9110、W920、W930、W1000、モデム5123、モデム5300、およびモデム5400において問題が発見されました。これは、SMSのTP-UDパケットを処理する際にTP-UDHIとUDLの値が不一致となるため、境界外書き込みが発生する脆弱性です。

Tenda AC6 15.03.05.16_multi には、funcname、funcpara1、および funcpara2 パラメータを介した formSetCfm 関数にバッファオーバーフローの脆弱性が存在します。

TiEmu 2.08およびそれ以前のバージョンには、ユーザーが提供する入力に対する境界チェックの不備により、スタックベースのバッファオーバーフローの脆弱性があります。この脆弱性を悪用することで、攻撃者は任意のコードを実行可能です。攻撃者はコマンドライン引数を通じてこのオーバーフローを引き起こし、ROPガジェットを利用して保護機能を回避し、アプリケーションのコンテキストでシェルコードを実行します。