脆弱性情報（JVN）検索・一覧

UltraVNC viewer バージョン 1.8.2.2 までに存在する整数オーバーフローにより、RFBプロトコルの失敗応答解析パスでヒープバッファオーバーフローが発生します。vncviewer/ClientConnection.cpp ファイル内で、ネットワークから供給される4バイトの reasonLen フィールド（型 CARD32）は reasonLen+1 として CheckBufferSize() に渡されます。これらのオペランドはどちらも符号なし32ビットであるため、reasonLen が 0xFFFFFFFF の場合、オーバーフローして0となり、CheckBufferSize は256バイトのみを割り当てます。その後の ReadString(m_netbuf, reasonLen) 呼び出しは、元の4 GiBの長さに対して ReadExact を実行し、256バイトのヒープバッファに書き込みを行います。このオーバーフローは、rfbConnFailed（認証方式交渉時）および rfbVncAuthFailed（ハンドシェイク後）メッセージタイプを通じて、認証に成功することなく到達可能です。悪意のある VNC サーバまたは RFB ストリーム上の中間者攻撃者は、被害者のビューアが接続した際にこの状態を引き起こし、ビューアを実行しているユーザーとしてリモートコードを実行される可能性があります。このクラッシュは AddressSanitizer を用いたポータブルな再現ハーネスで確認されており、ヒープバッファオーバーフロー WRITE がオフセット256で発生したことが検証されています。

dsp_mmap_single()は、ユーザーが指定したオフセットと長さの合計をバッファサイズと照合して要求されたマッピングを検証していました。この加算がオーバーフローする可能性があり、大きなオフセットと長さがラップアラウンドしてチェックを通過してしまいます。オフセットはバッファアドレスに変換される際に64ビットから32ビットに絞られ、その結果、マッピングが音声バッファを越えて無関係なカーネルメモリに拡大されます。/dev/dspデバイスノードはデフォルトで全ユーザーがアクセス可能です。オーディオデバイスがあるシステムでは、このいずれかの問題により、権限のないローカルユーザーがカーネルメモリを読み書きでき、権限昇格に使用され、最終的には影響を受けたシステムの完全な制御を得る可能性があります。最低でも攻撃者はカーネルをクラッシュさせてサービス拒否（DoS）を引き起こすことができます。

TIFFデコーダーは、範囲外のストリップオフセットを持つ無効な画像をデコードする際にパニックを引き起こす可能性があります。

Renesas TSIP TLS 1.3のトランスクリプトバッファにおける境界外書き込みの脆弱性です。tsip_StoreMessage()関数内で固定メッセージバッグ（MSGBAG_SIZE）の容量チェックがエラーコードを設定しますが、関数をリターンしません。そのため、TLS 1.3ハンドシェイクの蓄積トランスクリプトがMSGBAG_SIZE（8KB）を超えた場合に、XMEMCPYによってバッファの末尾を越えて書き込みが生じます。この書き込みは隣接するヒープ領域を破損し、リモートからのサービス拒否クラッシュを引き起こす可能性があります。バッグは通常のハンドシェイクを保持するサイズに設定されているため、この問題は異常に大きな有効な証明書チェーンや、チェーンを厳密に検証しないクライアントに対し、悪意のあるまたは中間者攻撃者が送信する過大なハンドシェイクメッセージによってのみ発生し得ます。この問題はRenesas MCUs上でTSIPハードウェアが有効化されたRenesas TSIP TLSポート（WOLFSSL_RENESAS_TSIP_TLS）をTLS 1.3クライアントとして使用しているビルドにのみ影響し、これらのビルドでは重大（High）と評価されています。その他の設定には影響がありません。

jqはコマンドラインで使用するJSONプロセッサです。バージョン1.8.2以前のjqでは、`jq --rawfile`が処理済みのオーバーサイズ文字列エラーを無効な再利用状態に変え、アサーションが無効なビルドにおいて実際のヒープの境界外書き込みを引き起こす可能性があります。jv_load_file(raw=1)が攻撃者が制御するファイルを読み込む際、ファイルのチャンクを同じjv文字列アキュムレータに繰り返し追加します。jv_string_append_buf()がjv_invalid_with_msg("文字列が長すぎます")を返した後もraw-fileループは停止しません。ファイルに少なくとも1バイトでも残っている場合、次のループ反復で既に無効なオブジェクトに新しいチャンクが追加されます。アサーションが有効な場合はjvp_string_ptr()で中断しますが、アサーションが無効な場合は無効なオブジェクトが文字列オブジェクトとして解釈され、ASanはヒープバッファオーバーフローを報告します。この脆弱性はバージョン1.8.2で修正されました。

Vimはオープンソースのコマンドラインテキストエディタです。バージョン9.2.0653以前では、src/spellfile.c内のtree_count_words()関数が、スペルファイルの単語トライの単語カウントフィールドを反復的に深さカウンターを用いて埋めます。このカウンターはトライ構造そのものによってのみ制限されており、固定長MAXWLEN要素のスタック配列(arridx[]、curi[]、wordcount[])のサイズとは照合されません。ユーザがスペル提案を呼び出す際に読み込まれる巧妙に作成された.spl/.sugファイルの組み合わせによって、下降が任意に深く駆動され、この関数がこれらの配列の範囲外に書き込む可能性があります。これはスタックの境界外書き込みであり、コールフレームを破壊してエディタをクラッシュさせます。この脆弱性はバージョン9.2.0653で修正されました。

署名アルゴリズムのリストが大きすぎる場合に、SetSuitesHashSigAlgoで境界外書き込みが発生し、宛先バッファの境界を越えて書き込める問題が存在します。

接続先ピアが認証される前のDTLS 1.3のACKシリアライゼーション経路において、ヒープバッファオーバーフローが発生する可能性があります。バッファオーバーフローの原因は、ACKレコード番号リストの長さを計算する際に整数が切り捨てられることです。その結果、過小なサイズのバッファが割り当てられ、オーバーランが発生しました。この問題は、DTLS 1.3およびwolfSSLバージョン5.9.0以前を使用するビルドに影響します。修正は5.9.1リリースで適用されました。

Vimはオープンソースのコマンドラインテキストエディターです。バージョン9.2.0698以前では、src/spell.c内のspell_soundfold_sofo()のシングルバイト分岐が、単語をスペルファイルのSOFO（サウンドフォールディング）バイトマップを通じて呼び出し元所有の結果バッファに変換します。そのコピーループは出力インデックスriを上限なしに進め、入力のNULでのみ終了し、入力バイトごとにMAXWLEN要素のスタックバッファに1バイトを書き込みます。MAXWLENより長い単語がsoundfold()に渡された場合（またはサウンドベースのスペルサジェストで到達された場合）、SOFOベースのスペル言語が有効なときにそのバッファの末尾を越えて書き込みます。これはスタックの範囲外書き込みであり、呼び出しフレームを破壊してエディターをクラッシュさせます。この脆弱性はバージョン9.2.0698で修正されました。

EmberZNet v9.0.2以前のバージョンにおいて、形式が不正なIASゾーン登録メッセージは境界外のステートテーブルへの書き込みを引き起こし、プロセスを終了させる可能性があります。この書き込みのサイズと場所には制限があります。これらのメッセージは、すでにネットワークに参加しているデバイスから送信されなければなりません。IASゾーンクラスターをサポートするデバイスのみが影響を受ける可能性があります。

EmberZNet v9.0.2以前のバージョンにおいて、不正な形式のClearWeekdayScheduleメッセージがドアロックスケジュールの状態に対して境界外書き込みを引き起こす可能性があります。このデータのサイズおよび位置は制限されています。これらのメッセージはすでにネットワークに参加しているデバイスから送信されなければなりません。ドアロッククラスタをサポートしているデバイスのみが影響を受けます。

Google Chromeのバージョン149.0.7827.197以前のBlinkにおけるInterestGroupsでの境界外読み取りおよび書き込みの脆弱性により、リモートの攻撃者が細工されたHTMLページを介して任意のコードを実行する可能性がありました。

LinuxおよびChromeOS上のGoogle Chromeのバージョン149.0.7827.115以前において、Codecsのヒープバッファオーバーフローの脆弱性が存在しました。この脆弱性により、リモートの攻撃者が細工されたHTMLページを介してレンダラープロセスを侵害し、サンドボックスからの脱出を実行できる可能性がありました。

リモートデスクトップクライアントに存在するヒープベースのバッファオーバーフローにより、認証されていない攻撃者がネットワーク経由でコードを実行できるようになります。

リモートデスクトップクライアントにおけるヒープベースのバッファオーバーフローにより、不正な攻撃者がネットワークを介してコードを実行できる脆弱性があります。

リモートデスクトップクライアントに存在するヒープベースのバッファオーバーフローの脆弱性により、不正な攻撃者がネットワーク経由でコードを実行できます。

Substance3D - Sampler バージョン 6.0.0 以前には、境界外書き込みの脆弱性が存在しており、これにより現在のユーザーのコンテキストで任意のコードを実行される可能性があります。この問題を悪用するには、被害者が悪意のあるファイルを開くというユーザーの操作が必要です。

Substance3D - Sampler バージョン 6.0.0 以前には、現在のユーザーのコンテキストで任意のコードが実行される可能性のある境界外書き込みの脆弱性が存在します。この問題を悪用するには、被害者が悪意のあるファイルを開く操作が必要です。

Windows Hotpatch Monitoring Serviceにおける境界外書き込みの脆弱性により、認可された攻撃者がローカルで特権を昇格させることが可能です。

ESF-IDFはEspressifのInternet of Things（IoT）開発フレームワークです。バージョン5.5.4および6.0において、esp_teeコンポーネントはesp_secure_services.cおよびesp_secure_services_iram.c内でセキュアサービスラッパーを公開しています。これはユーザーアプリケーション（すなわちREE）からTEEで保護されたハードウェア周辺機器（AES、SHA、ECC、HMAC、SPI、MMU、WDT）および証明、OTAアップデート、セキュアストレージといったセキュリティ機能への呼び出しを橋渡ししています。この問題はバージョン5.5.5および6.0.1で修正されました。

ImageMagickは、デジタル画像の編集および操作に使用される無料のオープンソースソフトウェアです。バージョン6.9.13-48および7.1.2-23より前のバージョンでは、異なる寸法の複数の画像を読み取る際に範囲外のヒープ書き込みが発生する可能性があります。この問題はバージョン6.9.13-48および7.1.2-23で修正されています。

Acrobat Readerのバージョン24.001.30365、26.001.21651およびそれ以前のバージョンには、現在のユーザーのコンテキストで任意のコードを実行される可能性がある境界外書き込みの脆弱性が存在します。この問題を悪用するには、被害者が悪意のあるファイルを開く必要があります。

InDesign Desktopのバージョン21.3、20.5.3およびそれ以前のバージョンには、境界外書き込みの脆弱性が存在し、現在のユーザーのコンテキストで任意のコードが実行される可能性があります。この問題を悪用するには、被害者が悪意のあるファイルを開くというユーザー操作が必要です。

Substance3D - Sampler バージョン6.0.0およびそれ以前には、現在のユーザーのコンテキストで任意のコードを実行される可能性がある境界外書き込みの脆弱性が存在します。この問題を悪用するには、被害者が悪意のあるファイルを開く操作が必要です。

Substance3D - Samplerのバージョン6.0.0およびそれ以前のバージョンには、現在のユーザーのコンテキストで任意のコードを実行できる境界外書き込みの脆弱性があります。この問題を悪用するには、被害者が悪意のあるファイルを開く必要があり、ユーザーの操作が必要です。

ImageMagickは、デジタル画像の編集および操作に使用されるフリーでオープンソースのソフトウェアです。バージョン6.9.13-50および7.1.2-25以前には、ICONデコーダーに誤ったループが存在しており、これが原因でヒープの範囲外書き込みが発生し、クラッシュが引き起こされる可能性がありました。この問題はバージョン6.9.13-50および7.1.2-25で修正されています。

NVIDIAのWindowsおよびLinux用ディスプレイドライバーには、攻撃者が境界外書き込みを引き起こす可能性がある脆弱性が存在します。この脆弱性を悪用に成功すると、サービス拒否、権限昇格、情報漏洩、データ改ざん、コード実行を引き起こす可能性があります。

InDesign Desktop バージョン 21.3、20.5.3 およびそれ以前のバージョンには、現在のユーザーのコンテキストで任意のコードを実行させる可能性がある境界外書き込みの脆弱性があります。この問題を悪用するには、被害者が悪意のあるファイルを開くというユーザーの操作が必要です。

InCopyのバージョン21.3、20.5.3およびそれ以前のバージョンには、バッファオーバーフローの脆弱性が存在し、これにより現在のユーザーのコンテキストで任意のコードが実行される可能性があります。この問題を悪用するには、被害者が悪意のあるファイルを開く操作を行う必要があります。

Linuxカーネルにおいて、exit処理中にTASK_DEAD状態のタスクのプリエンプションを防止するための修正が行われました。終了処理中のタスクがoops発生時にプリエンプション可能な状態でdo_task_dead()を呼び出すことは許されておらず、これによりTASK_DEAD状態のタスクのスタック解放時にuse-after-freeやダブルフリー、メモリ破損が発生する可能性がありました。本脆弱性は、タスクの終了時に一度でもoopsが発生すると起こる可能性があります。

Linuxカーネルにおいて、drm/amdkfdのSVM ioctlのnattrフィールドをバッファサイズに対して検証し、ユーザー制御の属性数によるバッファの境界外アクセスを防止する脆弱性を修正しました。

Linuxカーネルにおいて、drm/gemのdrm_gem_fb_init_with_funcs()関数でサブサンプルされたプレーンの寸法を不適切に計算する問題が修正されました。この関数は整数除算を使用していましたが、framebuffer_check()ではDIV_ROUND_UP()を使用しており、寸法の算出方法に不一致がありました。この不整合により、特定のピクセルフォーマットや寸法の組み合わせでGEMオブジェクトのサイズ検証が誤り、GPUが境界外のメモリにアクセスする恐れがありました。この問題は、整数除算をDIV_ROUND_UP()に置き換えることで修正されました。

Linuxカーネルのvsockにおいて、バッファサイズの制限順序の誤りにより、バッファサイズが意図した最大値を超えて設定される可能性があり、この問題が修正されました。

リモートデスクトップクライアントにおけるヒープベースのバッファオーバーフローの脆弱性により、未承認の攻撃者がネットワークを介してコードを実行する可能性があります。

FreeSWITCHは、専用の電話交換機から任意の汎用ハードウェア上で動作するソフトウェア実装へのデジタルトランスフォーメーションを可能にするソフトウェア定義の電気通信スタックです。バージョン1.11.0以前では、宣言された属性長がパーサがキャストする構造体よりも短いSTUNパケットが存在し、そのためパーサが属性の末尾を超えて読み書きを行い、個々のレッグメディアバッファで境界外メモリアクセスを引き起こしていました。この問題はバージョン1.11.0で修正されました。

AndroidのGoogle Chrome149.0.7827.103より前のバージョンのGPUにおけるヒープバッファオーバーフローの脆弱性により、リモートの攻撃者が細工されたHTMLページを介してレンダラプロセスを乗っ取り、サンドボックスから脱出する可能性がありました。