脆弱性情報（JVN）検索・一覧

Media Encoder バージョン 26.0.2、25.6.4 およびそれ以前のバージョンは、現在のユーザーのコンテキストで任意のコードを実行される可能性がある境界外書き込みの脆弱性の影響を受けます。この問題を悪用するには、被害者が悪意のあるファイルを開く必要があります。

After Effectsのバージョン26.0、25.6.4およびそれ以前のバージョンは、境界外書き込みの脆弱性の影響を受けます。この脆弱性により、現在のユーザーのコンテキストで任意のコードを実行される可能性があります。この問題を悪用するためには、被害者が悪意のあるファイルを開くというユーザーの操作が必要です。

Substance3D - Designer バージョン15.1.0およびそれ以前のバージョンには、現在のユーザーのコンテキストで任意のコードを実行される可能性がある境界外書き込みの脆弱性が存在します。この問題を悪用するためにはユーザーの操作が必要であり、被害者が悪意のあるファイルを開かなければなりません。

Substance3D - Designer バージョン 15.1.0 およびそれ以前のバージョンには、現在のユーザーのコンテキストで任意のコードを実行される可能性がある境界外書き込みの脆弱性があります。この問題を悪用するには、被害者が悪意のあるファイルを開くというユーザー操作が必要です。

Substance3D - Designerのバージョン15.1.0およびそれ以前のバージョンには、境界外書き込みの脆弱性があります。この脆弱性により、現在のユーザーのコンテキストで任意のコードを実行される可能性があります。この問題を悪用するには、被害者が悪意のあるファイルを開く必要があります。

Substance3D - Designer バージョン 15.1.0 およびそれ以前のバージョンには、現在のユーザーのコンテキストで任意のコードが実行される可能性がある境界外書き込みの脆弱性があります。この問題を悪用するためには、被害者が悪意のあるファイルを開くというユーザー操作が必要です。

Linuxカーネルにおいて、以下の脆弱性が修正されました：perf/arm-cmnでサポートされていないハードウェア構成を拒否するように変更されました。これまでは、未知のCMNモデル（少なくとも警告を表示しながら）や既知のモデルの未知のリビジョンについては、かなり緩やかに受け入れていました。リリース間で頻繁に変更があるものの、通常は基本的な起動チェックに有用な部分が残っていたためです。しかし、さまざまな箇所で最大サポートサイズや数に関する仮定をしており、新しいモデルがより大きく悪質な配列オーバーフローを引き起こす可能性がありました。そこで、実際に想定に合致するもののみに対して処理を試み、メモリ破損のリスクを回避するようにしました。完全に未知のノードタイプでは常に失敗していたため、エラーメッセージも明確かつ一貫したものに更新しました。

Linuxカーネルにおいて、xfsのリーフブロックに拡張属性（xattrs）を追加する際のfreemap調整に関する問題が修正されました。この問題は、freemapエントリがエントリ配列と重複する不整合な状態を引き起こし、ASSERTが失敗することでファイルシステムがシャットダウンしてしまう原因となっていました。具体的には、freemapの調整が不十分であったため、エントリ配列と空き領域の境界が重なり、無効な状態が発生していました。修正では、すべてのfreemapエントリを適切に調整し、エントリ配列と重複しないようにすることで、この問題を解決しています。

Linuxカーネルにおいて、以下の脆弱性が修正されました。erofsでは、符号化されたエクステントに対するインターレースされたプレーン識別が修正されました。開始位置とオンディスク上の物理長さの両方がブロックサイズに揃っているプレーンデータのみがインターレースされたプレーンエクステントとして分類されるべきです。そうでない場合は、シフトされたプレーンエクステントとして扱う必要があります。この問題は、プレーンエクステントの物理長さが揃っていない圧縮イメージを使用したsyzbоtによって発見されました。このため、z_erofs_transform_plain()でOOB読み取りが発生する可能性があります。

境界外書き込みの問題は、入力検証を改善することで対処されました。この問題はiOS 18.7.9およびiPadOS 18.7.9、iOS 26.5およびiPadOS 26.5、macOS Sequoia 15.7.7、macOS Sonoma 14.8.7、macOS Tahoe 26.5で修正されています。悪意を持って細工されたファイルを解析すると、アプリが予期せず終了する可能性があります。

Illustratorのバージョン29.8.6、30.3およびそれ以前のバージョンは、範囲外書き込みの脆弱性の影響を受けます。この脆弱性により、現在のユーザーのコンテキストで任意のコードを実行される可能性があります。この問題を悪用するには、被害者が悪意のあるファイルを開く操作を行う必要があります。

Substance3D - Painter バージョン 12.0.2 およびそれ以前のバージョンには、任意のコード実行を引き起こす可能性がある境界外書き込みの脆弱性が存在します。この脆弱性を悪用するには、被害者が悪意のあるファイルを開くというユーザーの操作が必要です。

Substance3D - Painter バージョン 12.0.2 以前には、アウトオブバウンズ書き込みの脆弱性が存在し、これにより現在のユーザーのコンテキストで任意のコードを実行される可能性がありました。この問題を悪用するためには、被害者が悪意のあるファイルを開くというユーザーの操作が必要です。

Linuxカーネルにおいて、以下の脆弱性が修正されました：usb: chipidea: udc: _ep_nuke()内のDMAおよびSGクリーンアップの修正です。ChipIdea UDCドライバは、アクティブな転送中に切断されたUSBデバイスが再接続された際に「ページアラインされていないsgバッファ」エラーが発生する可能性があります。これは_ep_nuke()がDMAバッファのマッピング解除やscatter-gatherバウンスバッファのクリーンアップを適切に行わずにリクエストをガジェットレイヤに返すために起こります。根本原因は、マルチセグメントDMA転送中に切断が発生すると、リクエストのnum_mapped_sgsフィールドおよびsgt.sglポインタが古い値のまま残ることです。リクエストは-ESHUTDOWN状態でガジェットドライバへ返されますが、DMA状態は依然としてアクティブな状態です。もしガジェットドライバが再初期化せずに接続再開時にこのリクエストを再利用すると、古いDMA状態により_hardware_enqueue()はDMAマッピングをスキップし（num_mapped_sgsが0でないため）、解放済みまたは無効なDMAアドレスを使用しようとしてアラインメントエラーやメモリ破壊が生じる可能性があります。正常な完了パスである_hardware_dequeue()は、リクエストを返す前にusb_gadget_unmap_request_by_dev()およびsglist_do_debounce()を適切に呼び出します。_ep_nuke()パスも同様のクリーンアップを行い、リクエストをクリーンで再利用可能な状態で返す必要があります。修正内容としては、_ep_nuke()にDMAマッピング解除およびバウンスバッファのクリーンアップを追加し、_hardware_dequeue()のクリーンアップシーケンスを反映しました。具体的には、num_mapped_sgsが設定されている場合はusb_gadget_unmap_request_by_dev()を呼び出し、バウンスバッファが存在する場合はcopy=falseでsglist_do_debounce()を呼び出します。これにより、エンドポイントシャットダウンによりリクエストが返される際に古いDMAマッピングが残らないことが保証されます。また、sglist_do_debounce()へのfalseパラメータは、転送が中断されたシャットダウンパスに適したデータコピーを防ぐ役割を果たします。

Linuxカーネルにおいて、以下の脆弱性が修正されました。Bluetoothのhci_syncサブシステムにあるhci_le_big_create_sync関数内のスタックバッファオーバーフローの問題です。hci_le_big_create_sync()関数は、DEFINE_FLEXを使用してスタック上に0x11（17）個分のBISエントリを格納するstruct hci_cp_le_big_create_syncを割り当てています。しかし、conn-num_bisは最大HCI_MAX_ISO_BIS（31）個のエントリを保持可能であり、呼び出し元のhci_conn_big_create_sync()関数ではISO_MAX_NUM_BIS（0x1f）と照合されています。conn-num_bisが18から31の間の場合、conn-bisをcp-bisにコピーするmemcpyは、スタックバッファを最大14バイトも越えて書き込み、隣接するスタックメモリを破損します。この問題は簡単に再現可能であり、ISOソケットをbc_num_bis = ISO_MAX_NUM_BIS（31）でバインドし、listen()関数を呼び出すと、最終的にHCIコマンド同期ワーカーからhci_le_big_create_sync()がトリガーされ、KASANによって検出可能なスタック範囲外書き込みが発生します。バグの内容の例として、"BUG: KASAN: stack-out-of-bounds in hci_le_big_create_sync+0x256/0x3b0 Write of size 31 at addr ffffc90000487b48 by task kworker/u9:0/71"というエラーが報告されています。修正は、誤った0x11のDEFINE_FLEXのカウントを、conn-bisが実際に保持可能なBISエントリ最大数であるHCI_MAX_ISO_BISに変更することで行われました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。wifi: wilc1000で、SSIDスキャンバッファサイズ計算におけるu8のオーバーフローを修正しました。変数valuesizeはu8として宣言されていますが、スキャンするすべてのSSIDの合計長を蓄積していました。各SSIDは最大33バイト（IEEE80211_MAX_SSID_LEN + 1）を占め、WILC_MAX_NUM_PROBED_SSID（10）個のSSIDで合計330に達し、u8に格納されると74にラップアラウンドします。これによりkmallocは75バイトのみを割り当て、後続のmemcpyが最大331バイトを書き込み、256バイトのヒープバッファオーバーフローが発生しました。valuesizeをu8からu32に拡張し、完全な範囲に対応しました。

Linuxカーネルにおいて、dpaa2-switchのnum_ifs検証不足により境界外書き込みの脆弱性が存在していました。このドライバーはファームウェアからsw_attr.num_ifsを取得しますが、DPSW_MAX_IF（64）との検証を行っていませんでした。そのため、num_ifsが64以上の値を報告すると、固定サイズの配列に対して境界外書き込みが発生する可能性がありました。この問題はdpaa2_switch_init()でnum_ifsに対する境界チェックを追加することで修正されました。また、dpaa2_switch_fdb_get_flood_cfg()内でもnum_ifsと関連するループの範囲チェックを強化しています。これにより、制御インターフェースを含むポートのIDが配列の境界を超えないように防止しています。

Linuxカーネルにおいて、以下の脆弱性が修正されました。drm/amdkfdのkfd_event_page_set()関数において、範囲外書き込みの問題が改善されました。kfd_event_page_set()関数は、バッファサイズパラメータを確認せずにmemsetを使用し、KFD_SIGNAL_EVENT_LIMIT * 8バイトを書き込みます。この問題により、特権のないユーザースペースが小さなバッファを渡すことでカーネルメモリへの範囲外書き込みが発生し、潜在的な権限昇格が可能となっていました。

Linuxカーネルにおいて、Alphaシステムでのメモリ圧縮時に発生するユーザースペース破損の脆弱性が修正されました。この脆弱性は、SIGSEGVやglibcアロケータの失敗、コンパイラ内部エラーを断続的に引き起こす可能性がありました。問題の根本原因はページ移動中のTLBシュートダウンが不十分であったことにあります。修正として、MMコンテキストの無効化、即時CPUごとのTLB無効化、および必要に応じた同期的なクロスCPUシュートダウンを組み合わせた新たな移動専用ヘルパーを導入しました。この変更により、Alphaシステムにおけるメモリ圧縮時のユーザースペース破損問題は解決されました。

Thunderbird ESR 140.10.1およびThunderbird 150.0.1にはメモリ安全性に関するバグが存在します。これらのバグの一部はメモリ破損の兆候を示しており、十分な努力をすれば任意のコードを実行するために悪用される可能性があると推測されます。この脆弱性はFirefox 150.0.2、Firefox ESR 140.10.2、Firefox ESR 115.35.2、Thunderbird 150.0.2、およびThunderbird 140.10.2で修正されました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。vhostではvdpaグループの境界チェックをvhost_vdpaに移動しました。これにより重複が解消され、親ドライバがチェックを見逃す可能性が減少します。また、同時にvdpa_simのバグを修正しました。このバグは、有効なASIDがngroupsに等しいグループに割り当てられた結果、範囲外書き込みが発生する問題でした。

Linuxカーネルにおいて、以下の脆弱性が修正されました。rxrpcでは、ページ化された断片が存在する場合にDATA/RESPONSEパケットも共有解除するように対応しました。rxrpc_input_call_event()内のDATAパケットハンドラおよびrxrpc_verify_response()内のRESPONSEハンドラは、skb_cloned()が真の場合にのみ、セキュリティ操作呼び出し前にskbをリニアにコピーします。クローンされていないが外部所有のページ断片（例：splice()によってUDPソケットに__ip_append_data経由で渡されるSKBFL_SHARED_FRAGが設定されたもの、またはチェインされたskb_has_frag_list()を持つskb）はインプレース復号化経路へ進み、fragページをskb_to_sgvec()を介して直接AEAD/skcipherのSGLに束縛します。skb_has_frag_list()またはskb_has_shared_frag()が真の場合にも共有解除を拡張し、splice-ループバックベクトルやその他の外部共有fragソースを検出します。一方で、fragsがカーネル専用（例：NICのpage_pool RX、GRO）のskbに対してはゼロコピー高速経路を維持します。既存のOOM/トレース処理も再利用されます。

Linuxカーネルにおいて、以下の脆弱性が修正されました。BluetoothのMGMTにおいて、LTKのenc_sizeをロード時に検証します。Long Term Keysのロードでは、ユーザーが提供したenc_sizeを保存し、その後LE LTKリクエストに応答する際の固定サイズスタック操作のサイズ決定に使用します。16バイトのキー用バッファより大きいenc_sizeは返信スタックバッファをオーバーフローさせる可能性があります。マネジメントLTKレコードを検証する際に過大なenc_size値を拒否し、不正なキーが保存されたキー状態に到達しないように対策を講じています。

Linuxカーネルにおいて、以下の脆弱性が修正されました。ALSAのusb-audioにおいて、サイレンシング時のOOB書き込みに対する整合性チェックが追加されました。実際の再生前に暗黙のfbモードで再生URBパケットをサイレンシングする際に、受信したパケットがバッファサイズに合っていると盲目的に仮定していました。しかし、キャプチャストリームの設定が再生ストリームと異なる場合（例: USBコアの最大パケットサイズ制限による）には、その不整合によりバッファへのOOB書き込みが発生し、クラッシュを引き起こす可能性があります。これに対処するため、prepare_silent_urb()で転送バッファサイズの整合性チェックを追加し、受信データがオーバーフローした場合にデータのコピーを停止します。また、転送エラーも適切に報告するようにしました。なお、これは再生エラーの根本原因を修正するものではなく、カーネルのOopsを防ぐための処置です。

The Document FoundationのLibreOfficeにおける、不正に作成されたOOXMLドキュメントの暗号化ソルトパラメータの不一致を利用した範囲外書き込みの脆弱性です。この問題はLibreOfficeのバージョン26.2から26.2.3未満、および25.8から25.8.7未満に影響を及ぼします。

Linuxカーネルにおいて、以下の脆弱性が修正されました：virt: tdx-guestで、ホスト制御の「quote」バッファ長の取り扱いが修正されました。ホストが制御する値 `quote_buf-out_len` を検証し、ゲストユーザ空間にコピーされるquoteのバイト数を決定します。TDX環境のリモート認証において、quoteは秘匿情報とみなされず、認証サーバーに転送可能です。ホストがゲストに割り当てられた長さより大きい応答長を指定したり、ゲストが応答を消費する間に応答が変更される競合状態が発生するシナリオを検出します。これにより、`quote_buf`に割り当てられたページ（TSM_REPORT_OUTBLOB_MAXまで）を超える内容がゲストユーザ空間に読み出されたり認証リクエストで転送されたりするのを防ぎます。一部の展開環境ではコンテナごとにconfigs-tsm-reportインターフェースが必要なため、この情報漏洩はローカルrootだけでなく、コンテナの保護境界を越える可能性があることに注意してください。

Linuxカーネルにおいて、以下の脆弱性が修正されました：nvmemのzynqmp_nvmemにおけるDMAおよびmemcpyのバッファサイズの問題です。DMA割り当ておよびmemcpyで使用されていたバッファサイズが誤っていたため、サイズ不足のDMAバッファアクセスおよび潜在的なメモリ破損を引き起こす可能性がありました。これを受けて、dma_alloc_coherentおよびmemcpyで正しいバッファサイズを使用するように修正しました。

Linuxカーネルにおいて、以下の脆弱性が修正されました：comedi: me4000のファームウェアバッファに潜在的なオーバーランが存在していた問題です。`me4000_xilinx_download()`関数は`request_firmware()`で要求されたファームウェアを読み込みますが、ファイル形式を盲目的に信用していたため、ソースバッファがオーバーランする可能性がありました。最初の4バイトからデータストリームの長さを`file_length`変数に読み込み、オフセット16以降からその長さ分のデータストリーム内容を読み取ります。供給されたファームウェアがヘッダーとデータストリームを含むのに十分な長さであることを確認するテストを追加しました。テストに失敗した場合はエラーをログに記録し、`-EINVAL`を返します。注：ファームウェアの読み込みはコミットac584af59945（"staging: comedi: me4000: fix firmware downloading"）以前は完全に壊れていましたが、この修正が最も妥当な対応です。

Linuxカーネルにおいて、以下の脆弱性が修正されました：comedi: me_daq: ファームウェアバッファの潜在的なオーバーランの修正です。`me2600_xilinx_download()` 関数は `request_firmware()` で要求されたファームウェアを読み込みます。この関数はファイル形式を無条件に信用していたため、ソースバッファのオーバーランが発生する可能性がありました。最初の4バイトからデータストリームの長さを `file_length` 変数に読み込み、16バイト目以降から `file_length` バイトのデータストリーム内容を読み込みます。ファームウェアが少なくとも16バイト以上であることはチェックしていましたが、データストリームを含むのに十分な長さかどうかはチェックしていませんでした。そのため、ヘッダーとデータストリームを含むのに十分な長さであるかどうかを検証するテストを追加しました。検証に失敗した場合はエラーをログに記録し、 `-EINVAL` を返すようにしました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。HIDのマルチタッチ機能において、レポート応答がリクエストと一致することを確認するチェックを追加しました。悪意のある（または不注意な）デバイスが、特定のレポートの機能要求に対して全く異なるレポートIDで応答する可能性がありました。これによりHIDコアが混乱し、OOB書き込みなどの悪質な副作用が発生する恐れがありました。そこで、応答のレポートIDが要求されたものと一致することを確認するチェックを追加し、一致しない場合は生のイベントの報告を省略して早期に戻るようにしました。

MacおよびiOSのGoogle ChromeのMediaコンポーネントにおける境界外書き込みの脆弱性により、バージョン148.0.7778.96より前では、遠隔の攻撃者が細工されたHTMLページを介してサンドボックス内で任意のコードを実行できる可能性がありました。この問題はChromiumでセキュリティ重大度中として評価されています。

Linuxカーネルにおいて、usb: gadget: f_uac1_legacyコンポーネントのコントロールリクエストのサイズ検証に関する脆弱性を修正しました。f_audio_complete()関数はreq-lengthバイトを4バイトのスタック変数にコピーしますが、req-lengthはホストに制御されるUSBリクエストから取得されるため、スタックの範囲外書き込みが発生する可能性がありました。本修正では、対応するコントロールセレクタの期待されるペイロードサイズとreq-actual値を検証し、期待されるデータ量のみを処理することで、ホスト制御の長さを固定サイズのスタックオブジェクトにコピーする問題を防止します。

Linuxカーネルのdrivers/xen/sys-hypervisor.cにおいて、バッファオーバーフローの脆弱性が存在します。HYPERVISOR_xen_version(XENVER_build_id)が返すビルドIDはヌル終端されていないため、sprintfがヌル終端を探して読み込みを続け、バッファオーバーフローが発生します。この問題はmemcpyの使用によって修正されました。

Google Chromeの148.0.7778.96以前のV8エンジンにおける境界外の読み取りおよび書き込みの脆弱性により、リモートの攻撃者が細工されたHTMLページを介してサンドボックス内で任意のコードを実行する可能性がありました。

Google Chromeの148.0.7778.96以前のバージョンのV8には境界外メモリアクセスの脆弱性があり、リモートの攻撃者が細工されたHTMLページを介してサンドボックス内で任意のコードを実行できる可能性がありました。

Google Chromeのバージョン148.0.7778.96以前のSkiaにおける境界外書き込みの脆弱性により、リモート攻撃者が細工されたHTMLページを介してレンダラープロセスを侵害し、サンドボックスを回避できる可能性がありました。

148.0.7778.96より前のGoogle ChromeのWebRTCにおける範囲外書き込みにより、リモートの攻撃者が細工されたHTMLページを介してサンドボックス内で任意のコードを実行できる可能性がありました。

以前に割り当てられたバッファのサイズを動的に変更している間に、その内容が変更されるとメモリ破損が発生します。

デバイスが省電力状態のときにIOCTLコマンドを処理すると、メモリが破損する問題。

Linuxカーネルにおいて、以下の脆弱性が修正されました。ext4ファイルシステムで、truncate操作によりファイルサイズがインラインデータの容量を超えた場合に、インラインデータからextentベースのストレージへ変換する処理をext4_setattr()に追加しました。これにより、インラインデータフラグが設定されたままファイルサイズがインラインで格納可能な容量を超える不整合な状態になることを防ぎます。修正前は、以下の手順でカーネルがBUG_ON()を発生させてクラッシュしていました。1. インラインフラグがセットされていて小さいサイズのinodeを持つファイルシステムをマウントする。2. truncate(file, 50MB)でサイズを拡張するがインラインフラグは解除されなかった。3. sendfile()がデータ書き込みを試みる。4. ext4_write_inline_data()はwrite_sizeがinline_capacityを超えたためBUG_ON()を引き起こしていました。クラッシュは、ext4_write_inline_data()がインラインストレージ内への書き込みを前提としている一方で、実際のインライン容量（i_blockで約60バイト、xattrsで約96バイト）よりもファイルサイズと書き込み要求が大幅に大きいために発生していました。修正では、setattrによる新しいファイルサイズがinodeの実際のインライン容量（EXT4_I(inode)-i_inline_size）を超えた場合に、サイズ変更前にファイルをextentベースのストレージに変換し不整合を防止します。これにより、truncate操作中にインラインデータフラグとファイルサイズの整合性が維持され、根本的な問題が解決されました。