脆弱性情報（JVN）検索・一覧

151.0.7922.109より前のバージョンのLinux上で動作するGoogle ChromeのGPUにおける境界外書き込みの脆弱性により、リモートの攻撃者が細工されたHTMLページを介してレンダラプロセスを侵害し、サンドボックスからの脱出を行う可能性がありました。(Chromiumのセキュリティ重大度は高です)

Apache Traffic Server の header_rewrite プラグインは、クッキーの操作および CIDR 条件のマッチング時にクラッシュやメモリ破損を引き起こす可能性があります。この問題は、Apache Traffic Server のバージョン 8.0.0 から 8.1.9、9.0.0 から 9.2.14、および 10.0.0 から 10.1.3 に影響します。ユーザーはこの問題が修正されたバージョン 9.2.15 または 10.1.4 へアップグレードすることを推奨します。

Apache Traffic Serverのマルチプレクサプラグインは、アップストリーム入力時にチャンクデコードバッファをオーバーランし、サービス拒否（DoS）を引き起こす可能性があります。この問題は、Apache Traffic Serverのバージョン8.0.0から8.1.9、9.0.0から9.2.14、10.0.0から10.1.3までに影響します。ユーザーには、問題が修正されたバージョン9.2.15または10.1.4にアップグレードすることを推奨します。

境界外書き込みの問題は、改善された境界チェックによって対処されました。この問題は、iOS 16.6およびiPadOS 16.6、macOS Sequoia 15.7.8、macOS Sonoma 14.8.8、macOS Tahoe 16.6、tvOS 16.6、visionOS 16.6、watchOS 16.6で修正されています。この問題により、アプリケーションがサービス拒否（DoS）を引き起こす可能性があります。

境界外書き込みの問題は、脆弱なコードを削除することで対処されました。この問題はiOS 16.6およびiPadOS 16.6、macOS Sequoia 15.7.8、macOS Sonoma 14.8.8、macOS Tahoe 16.6、tvOS 16.6、visionOS 16.6、watchOS 16.6で修正されています。悪意のある細工が施されたファイルを処理すると、予期しないアプリの終了や任意のコードの実行が発生する可能性があります。

境界外書き込みの問題は、改良された境界チェックによって対処されました。この問題は、iOS 16.6およびiPadOS 16.6、macOS Sequoia 15.7.8、macOS Sonoma 14.8.8、macOS Tahoe 16.6、tvOS 16.6、visionOS 16.6、watchOS 16.6で修正されています。攻撃者は予期しないアプリの終了を引き起こす可能性があります。

境界外書き込みの問題は、改善された境界チェックによって対処されました。この問題は、iOS 16.6および iPadOS 16.6、macOS Sequoia 15.7.8、macOS Sonoma 14.8.8、macOS Tahoe 16.6、tvOS 16.6、visionOS 16.6、watchOS 16.6で修正されています。悪意を持って細工されたファイルを処理すると、予期しないアプリケーションの終了や任意のコード実行が引き起こされる可能性があります。

150.0.7871.186より前のGoogle ChromeのCodecsにおけるバッファオーバーフローの脆弱性により、リモートの攻撃者が細工されたHTMLページを介してサンドボックスを脱出する可能性がありました。（Chromiumセキュリティ重大度：高です）

Apache NimBLEのBASSサービスにおける境界外書き込みおよび整数アンダーフロー（ラップまたはラップアラウンド）の脆弱性です。BASSサービスの「Add Source」および「Modify Source」操作のPDU解析時に不適切な検証が行われるため、スタックバッファオーバーフローや任意の境界外読み取りが発生する可能性があります。この問題はBluetooth接続を介した近隣デバイスから引き起こされますが、BASSサービスにアクセスするにはペアリングが必要であり、これはデバイスの設定によってユーザーの操作を必要とする場合とそうでない場合があります。この問題はApache NimBLEのバージョン1.9.0までに影響します。ユーザーは本問題を修正したバージョン1.10.0へのアップグレードを推奨します。

Unbound 1.9.0から1.25.1までのバージョンにおいて、TCP経由でDNSCryptクエリを受信した場合、返信をその場で暗号化するルーチンが返信の長さを宛先バッファのサイズに対して制限することに失敗します。UDP経路を保護するサイズ制限はTCP経路には適用されないため、65504バイトを超える返信が「msg-buffer-size」と等しい容量のバッファ内で48バイト前方にシフトされ、ヒープ割り当ての末尾を超えて書き込まれてしまいます。単一の悪意ある暗号化クエリによってリゾルバがクラッシュし、サービス拒否に至る可能性があります。この脆弱性が発生するには、UnboundがDNSCryptサポート（'--enable-dnscrypt'）付きでコンパイルされていることに加え、リッスンインターフェースに対して'dnscrypt:'句が設定および有効になっている必要があります。

Google Chrome 150.0.7871.182 未満のバージョンの ANGLE における境界外書き込みの脆弱性により、レンダラープロセスを乗っ取ったリモート攻撃者が、細工された HTML ページを介してサンドボックスを脱出する可能性がありました。（Chromium セキュリティ重大度：高）

Auditionは、現在のユーザーのコンテキストで任意のコードを実行させる可能性のある境界外書き込みの脆弱性の影響を受けています。この問題を悪用するには、被害者が悪意のあるファイルを開くというユーザーの操作が必要です。

Audition は、現在のユーザーのコンテキストで任意のコードを実行させる可能性のある境界外書き込みの脆弱性の影響を受けています。この問題を悪用するには、被害者が悪意のあるファイルを開くというユーザーの操作が必要です。

Auditionは、現在のユーザーのコンテキストで任意のコードを実行させる可能性がある境界外書き込みの脆弱性の影響を受けています。この問題を悪用するには、被害者が悪意のあるファイルを開く操作を行う必要があります。

Microsoft Office Wordのヒープベースのバッファオーバーフローにより、不正な攻撃者がローカルでコードを実行する可能性があります。

Arena Simulationのmodel.exe（Siman）コンポーネントにメモリ破損の脆弱性が存在するため、セキュリティ上の問題があります。この脆弱性は、ユーザーが提供したデータの不適切な検証に起因しており、境界外書き込みを引き起こす可能性があります。攻撃者は、この脆弱性を悪用して、ユーザーに悪意のあるファイルを開かせることで、現在のプロセスのコンテキストで任意のコードを実行することが可能です。

Arena Simulationのexpmt.exe（Siman）コンポーネントにおけるメモリ破損の脆弱性により、セキュリティ上の問題が存在します。この脆弱性は、ユーザーから提供されたデータの不適切な検証に起因し、境界外書き込みが発生する可能性があります。攻撃者は、この脆弱性を悪用して、ユーザーに悪意のあるファイルを開かせることで、現在のプロセスのコンテキストで任意のコードを実行することが可能です。

Arena Simulationのlinker.exe（Siman）コンポーネントにおけるメモリ破損の脆弱性により、セキュリティ上の問題が存在します。この脆弱性はユーザー提供データの不適切な検証に起因しており、境界外への書き込みが発生する可能性があります。攻撃者はこの脆弱性を悪用して、ユーザーに悪意のあるファイルを開かせることで、現在のプロセスのコンテキストで任意のコードを実行できる可能性があります。

Arena Simulationのsiman.exe（Siman）コンポーネントにおけるメモリ破損の脆弱性により、セキュリティ上の問題が存在します。この脆弱性は、ユーザーから提供されたデータの不適切な検証に起因し、境界外書き込みを引き起こす可能性があります。攻撃者はこの脆弱性を悪用し、ユーザーに悪意のあるファイルを開かせることで、現在のプロセスのコンテキストで任意のコードを実行することが可能です。

ZephyrのWireGuardサブシステム（subsys/net/lib/wireguard）において、wg_crypto.cのwg_process_data_message()関数は、復号化の前に着信したトランスポートデータのペイロードをCONFIG_WIREGUARD_BUF_LENバイトの固定プールバッファにリニアライズします。関数呼び出しnet_buf_linearize(buf-＞data, data_len, pkt-＞buffer, ..., data_len)は、攻撃者由来のdata_lenを宛先容量およびコピー長の両方に渡しており、関数内部のlen = min(len, dst_len)の制限を無効化しています。data_lenは受信したUDPデータグラムの長さに由来し、wg_ctrl_recv()によって下限のみが保証されており（上限はありません）。data_lenがCONFIG_WIREGUARD_BUF_LENを超える場合、例えばバッファ長がリンクMTUよりも低く設定されている場合や、MTUがバッファサイズを上回るリンク上、あるいはそれを超える再構成されたIPv4/IPv6フラグメント経由において、基盤となるmemcpyはプールバッファの末尾を越えて書き込みを行い、境界外書き込み（CWE-787）を引き起こします。このオーバーフローはPoly1305認証チェックの前に発生するため、有効な認証子ではなく、有効な受信セッションインデックスを持つだけで十分です。悪意あるまたは侵害されたピア（あるいは確立済みセッションを操作する中間者攻撃者）はネットワーク経由で到達可能であり、リモートメモリ破壊および少なくとも確実なサービス拒否を引き起こします。この欠陥はZephyr 4.4.0で出荷されたWireGuard実装に存在しました。修正では、明示的にdata_lenがCONFIG_WIREGUARD_BUF_LENを超える場合を拒否し、linearize呼び出しで宛先容量としてnet_buf_max_len(buf)を渡すように改善しています。

Auditionは、現在のユーザーのコンテキストで任意のコードを実行させる可能性のある境界外書き込みの脆弱性の影響を受けています。この問題を悪用するにはユーザーの操作が必要であり、被害者が悪意のあるファイルを開かなければなりません。

Auditionは、現在のユーザーのコンテキストで任意のコードを実行させる可能性のある境界外書き込みの脆弱性に影響を受けます。この問題を悪用するためには、被害者が悪意のあるファイルを開くというユーザー操作が必要です。

PillowはPythonの画像処理ライブラリです。バージョン12.3.0以前のPillowにおいて、公開されている画像座標APIであるImage.paste()、Image.crop()、またはImage.alpha_composite()に符号付き32ビット整数の限界近くの座標が与えられた場合、ネイティブヒープの境界外書き込みが引き起こされる可能性がありました。この問題はバージョン12.3.0で修正されました。

PillowはPythonの画像処理ライブラリです。バージョン12.3.0以前のPillowにおいて、ImageCms.ImageCmsTransform.apply(im, imOut) APIは、呼び出し元が変換で宣言された出力モードと一致しないモードの出力画像を渡した場合に、制御可能なネイティブヒープの破損を引き起こす可能性がありました。この問題はバージョン12.3.0で修正されました。

FreeRDPはリモートデスクトッププロトコルの無料実装です。バージョン3.27.1以前のFreeRDPクライアントは、デフォルトではない /cache:codec:rfx オプションで起動されると、デスクトップのストライドと高さをRemoteFXデコードに渡しつつ、gdi_Bitmap_Decompressでbitmap-＞dataをDstWidthおよびDstHeightの小さい方にのみ割り当てていました。このため、悪意のあるRDPサーバが攻撃者制御下のオフセットおよび内容でヒープの境界外書き込みを引き起こす可能性がありました。この問題はバージョン3.27.1で修正されています。

150.0.7871.115より前のGoogle Chromeのコーデックには境界外の読み取りおよび書き込みの脆弱性があり、リモートの攻撃者が細工されたビデオファイルを用いてヒープ破損を引き起こす可能性がありました。（Chromiumセキュリティ深刻度：高）

アプリケーションは異常なUnity 3Dオブジェクトを含むPDFファイルを開きました。解析中に、アプリケーションはその異常オブジェクトの一部を誤ってポインタとして解釈し、有効なアドレスとして使用したため、最終的にアプリケーションがクラッシュする結果となりました。

Palo Alto NetworksのPAN-OSソフトウェアに含まれるUser-IDターミナルサーバーエージェント（TSA）コンポーネントには、複数のバッファオーバーフローの脆弱性があります。この脆弱性により、ネットワークアクセス権を持つ認証されていない攻撃者が、特殊に細工されたネットワークトラフィックを送信することで、サービス拒否（DoS）状態を引き起こしたり、潜在的に任意のコードを実行したりする可能性があります。この問題に伴うセキュリティリスクは、User-IDターミナルサーバーエージェントの接続を弊社推奨のベストプラクティス展開ガイドラインに従い、信頼できる内部IPアドレスのみに制限することで最小化できます。詳細は以下のリンクをご参照ください。https://docs.paloaltonetworks.com/ngfw/help/10-2/user-identification/device-user-identification-terminal-services-agents#:~:text=To%20minimize%20security%20risk%2C%20restrict%20TS%20Agent%20connectivity%20to%20trusted%20internal%20IP%20addresses%20only.Panoramaはこの脆弱性の影響を受けません。

Mac版Google Chromeのバージョン150.0.7871.46より前のANGLEにおけるヒープバッファオーバーフローの脆弱性により、リモートの攻撃者が細工されたHTMLページを介して境界外のメモリアクセスを行うことが可能でした。(Chromiumセキュリティ重大度は高と評価されています)

Google Chrome 150.0.7871.46未満のバージョンのV8における境界外書き込みの脆弱性により、リモートの攻撃者が細工されたHTMLページを通じてサンドボックス内で任意のコードを実行できる可能性がありました。（Chromiumセキュリティの重大度は低と評価されています）

Google Chrome のバージョン 150.0.7871.46 より前の ANGLE における境界外書き込みにより、レンダラープロセスが侵害される可能性がありました。リモート攻撃者は細工された HTML ページを介してサンドボックスを脱出できるおそれがあります。（Chromium セキュリティ重大度：高）

Google Chrome のバージョン 150.0.7871.46 より前の Tint には境界外読み取りおよび書き込みの脆弱性があり、遠隔の攻撃者が細工された HTML ページを介して境界外メモリアクセスを行う可能性がありました。（Chromium セキュリティ重大度：高と評価されています）

UltraVNC repeater 1.8.2.2 までのバージョンには、許可/拒否ルールパーサに認証後の境界外書き込みが存在します。repeater/webgui/settings.c の 225〜272 行において、strncpy_s がルールトークンを temp1[rule1]（25 バイトの宛先）または temp2/temp3（16 バイトの宛先）にコピーした後、コードは len を宛先サイズに合わせて制限することなく、temp1[rule1][len] = 0 で無条件に NUL 終端を書き込みます。認証済みの管理者がトークン長が宛先サイズ以上のルールを保存すると、NUL バイトがスタック上に確保された配列の末尾を 1 バイト以上越えて書き込まれ、隣接するスタックデータが破損します。管理者資格情報を取得した攻撃者（CVE-2026-7839 のデフォルトパスワードによる取得を含む）は、これをトリガーしてリピータホスト上でコード実行を獲得できます。

UltraVNC ビューワー 1.8.2.2 までには、RFB ServerInit メッセージハンドラにおいてオフバイワンのスタックバッファオーバーフローが存在しています。vncviewer/ClientConnection.cpp にて、サーバーから提供される nameLength が正確に 2024 の場合、コードは 2024 バイトのスタックバッファ _dn[2024] を宣言し、ReadString(_dn, 2024) を呼び出します。ReadString はヌル終端文字を buf[length]、つまり _dn[2024] に書き込みます。これはスタックバッファの末尾を1バイト超えています。悪意ある VNC サーバーは、ServerInit メッセージで長さ 2024 のデスクトップ名を広告することでこの状況を引き起こすことが可能です。スタックキャナリーがないリリースビルドでは、この1バイトのヌル書き込みにより隣接するスタックデータが上書きされます。/GS スタック保護付きビルドでは、キャナリーが破損しプロセスが終了し、サービス拒否を引き起こします。ユーザー操作（ビューワーを悪意あるサーバーに接続すること）が必要です。

UltraVNC viewer バージョン 1.8.2.2 までに存在する整数オーバーフローにより、RFBプロトコルの失敗応答解析パスでヒープバッファオーバーフローが発生します。vncviewer/ClientConnection.cpp ファイル内で、ネットワークから供給される4バイトの reasonLen フィールド（型 CARD32）は reasonLen+1 として CheckBufferSize() に渡されます。これらのオペランドはどちらも符号なし32ビットであるため、reasonLen が 0xFFFFFFFF の場合、オーバーフローして0となり、CheckBufferSize は256バイトのみを割り当てます。その後の ReadString(m_netbuf, reasonLen) 呼び出しは、元の4 GiBの長さに対して ReadExact を実行し、256バイトのヒープバッファに書き込みを行います。このオーバーフローは、rfbConnFailed（認証方式交渉時）および rfbVncAuthFailed（ハンドシェイク後）メッセージタイプを通じて、認証に成功することなく到達可能です。悪意のある VNC サーバまたは RFB ストリーム上の中間者攻撃者は、被害者のビューアが接続した際にこの状態を引き起こし、ビューアを実行しているユーザーとしてリモートコードを実行される可能性があります。このクラッシュは AddressSanitizer を用いたポータブルな再現ハーネスで確認されており、ヒープバッファオーバーフロー WRITE がオフセット256で発生したことが検証されています。

dsp_mmap_single()は、ユーザーが指定したオフセットと長さの合計をバッファサイズと照合して要求されたマッピングを検証していました。この加算がオーバーフローする可能性があり、大きなオフセットと長さがラップアラウンドしてチェックを通過してしまいます。オフセットはバッファアドレスに変換される際に64ビットから32ビットに絞られ、その結果、マッピングが音声バッファを越えて無関係なカーネルメモリに拡大されます。/dev/dspデバイスノードはデフォルトで全ユーザーがアクセス可能です。オーディオデバイスがあるシステムでは、このいずれかの問題により、権限のないローカルユーザーがカーネルメモリを読み書きでき、権限昇格に使用され、最終的には影響を受けたシステムの完全な制御を得る可能性があります。最低でも攻撃者はカーネルをクラッシュさせてサービス拒否（DoS）を引き起こすことができます。

TIFFデコーダーは、範囲外のストリップオフセットを持つ無効な画像をデコードする際にパニックを引き起こす可能性があります。

Renesas TSIP TLS 1.3のトランスクリプトバッファにおける境界外書き込みの脆弱性です。tsip_StoreMessage()関数内で固定メッセージバッグ（MSGBAG_SIZE）の容量チェックがエラーコードを設定しますが、関数をリターンしません。そのため、TLS 1.3ハンドシェイクの蓄積トランスクリプトがMSGBAG_SIZE（8KB）を超えた場合に、XMEMCPYによってバッファの末尾を越えて書き込みが生じます。この書き込みは隣接するヒープ領域を破損し、リモートからのサービス拒否クラッシュを引き起こす可能性があります。バッグは通常のハンドシェイクを保持するサイズに設定されているため、この問題は異常に大きな有効な証明書チェーンや、チェーンを厳密に検証しないクライアントに対し、悪意のあるまたは中間者攻撃者が送信する過大なハンドシェイクメッセージによってのみ発生し得ます。この問題はRenesas MCUs上でTSIPハードウェアが有効化されたRenesas TSIP TLSポート（WOLFSSL_RENESAS_TSIP_TLS）をTLS 1.3クライアントとして使用しているビルドにのみ影響し、これらのビルドでは重大（High）と評価されています。その他の設定には影響がありません。

jqはコマンドラインで使用するJSONプロセッサです。バージョン1.8.2以前のjqでは、`jq --rawfile`が処理済みのオーバーサイズ文字列エラーを無効な再利用状態に変え、アサーションが無効なビルドにおいて実際のヒープの境界外書き込みを引き起こす可能性があります。jv_load_file(raw=1)が攻撃者が制御するファイルを読み込む際、ファイルのチャンクを同じjv文字列アキュムレータに繰り返し追加します。jv_string_append_buf()がjv_invalid_with_msg("文字列が長すぎます")を返した後もraw-fileループは停止しません。ファイルに少なくとも1バイトでも残っている場合、次のループ反復で既に無効なオブジェクトに新しいチャンクが追加されます。アサーションが有効な場合はjvp_string_ptr()で中断しますが、アサーションが無効な場合は無効なオブジェクトが文字列オブジェクトとして解釈され、ASanはヒープバッファオーバーフローを報告します。この脆弱性はバージョン1.8.2で修正されました。

Vimはオープンソースのコマンドラインテキストエディタです。バージョン9.2.0653以前では、src/spellfile.c内のtree_count_words()関数が、スペルファイルの単語トライの単語カウントフィールドを反復的に深さカウンターを用いて埋めます。このカウンターはトライ構造そのものによってのみ制限されており、固定長MAXWLEN要素のスタック配列(arridx[]、curi[]、wordcount[])のサイズとは照合されません。ユーザがスペル提案を呼び出す際に読み込まれる巧妙に作成された.spl/.sugファイルの組み合わせによって、下降が任意に深く駆動され、この関数がこれらの配列の範囲外に書き込む可能性があります。これはスタックの境界外書き込みであり、コールフレームを破壊してエディタをクラッシュさせます。この脆弱性はバージョン9.2.0653で修正されました。