脆弱性情報（JVN）検索・一覧

PillowはPythonの画像処理ライブラリです。バージョン10.3.0から12.2.0未満のバージョンにおいて、悪意のあるPSDファイルを処理するとメモリ破損が発生し、クラッシュや任意のコード実行につながる可能性がありました。この問題はバージョン12.2.0で修正されました。

NanaZipはオープンソースのファイルアーカイブソフトウェアです。バージョン5.0.1252.0から6.0.1698.0未満の範囲で、NanaZipのUFS/UFS2ファイルシステムイメージパーサーに1バイトのヒープ境界外ヌル書き込みの脆弱性が存在します。この脆弱性は、細工されたUFSファイルシステムイメージを開く際に発生します。攻撃者はヒープ割り当て境界を越えた約254バイトの範囲内で書き込みのバイトオフセットを制御できます。この脆弱性はバージョン6.0.1698.0で修正されています。

Fortinet FortiOS 7.6.0から7.6.3、FortiOS 7.4.0から7.4.8、FortiOS 7.2.0から7.2.11に存在する境界外書き込みの脆弱性により、攻撃者は特別に細工されたパケットを介して不正なコードやコマンドを実行できます。

Windows版Intel(R) QATソフトウェアドライバのバージョン1.13未満の一部において、Ring 3のユーザーアプリケーション内で境界外書き込みが発生し、権限昇格が起こる可能性があります。認証されたユーザーと低複雑度の攻撃を組み合わせた、権限のないソフトウェア攻撃者が権限昇格を可能にする場合があります。この問題は、攻撃要件を満たさず、特別な内部知識も不要で、ユーザーの操作も必要としないローカルアクセスを介して発生します。この潜在的な脆弱性は、脆弱なシステムの機密性（高）、完全性（高）、および可用性（高）に影響を与え、その結果、システム全体の機密性、完全性、および可用性に悪影響を及ぼします。

Ashlar-Vellum Cobalt、Xenon、Argon、Lithium、およびCobalt Shareのバージョン12.6.1204.216以前には、バッファオーバーフロー（境界外書き込み）の脆弱性が存在します。この脆弱性により、特別に細工されたVC6ファイルが解析される際に、攻撃者が任意のコードを実行できる可能性があります。

Linuxカーネルにおいて、次の脆弱性が修正されました。smbクライアントのSMB2_write()におけるインプレース暗号化の破損の問題です。SMB2_write()は書き込みペイロードをrq_iovのiov[1..n]に配置します。smb3_init_transform_rq()はrq_iovのポインターを共有しているため、crypt_message()はiov[1]をインプレースで暗号化し、元の平文を暗号文で置き換えます。再試行可能なエラーが発生すると、リトライは元のデータではなく暗号文を含む同じiov[1]を送信し、データの破損が生じます。この破損は接続が不安定な場合に最も観察されやすく、再接続が書き込みリトライを引き起こし、既に暗号化されたデータを再送信するため発生します。これはSFUのmknodやMFのシンボリックリンクなどに影響を与えます。6.10以前のカーネル（netfsへの変換前）では、同期書き込みもこの経路を使用しており、同様の影響を受けていました。一方、非同期書き込みパスはrq_iterを使用し、それがディープコピーされるため影響を受けませんでした。修正内容としては、書き込みペイロードをiov_iter_kvec()を介してrq_iterに移動し、smb3_init_transform_rq()が暗号化前にそれをディープコピーするように変更しました。

libsixelはkmiyaのsixelに由来するSIXELエンコーダ/デコーダの実装です。バージョン1.8.7-r1までにおいて、SIXELパーサの画像バッファ倍増ループで符号付き整数オーバーフローが発生し、sixel_decode_raw_implでヒープの境界外書き込みにつながる可能性があります。context-pos_xは各SIXEL文字のrepeat_countによって増加しますが、上限チェックがありません。pos_xがINT_MAXに近づくと、画像バッファのサイズを決定するために使用される「pos_x + repeat_count」の式が符号付き整数オーバーフローを引き起こします。オーバーフローの巻き戻り方によっては、過大なサイズのバッファを拒否すべきリサイズチェックを回避でき、その後の書き込みがimage-dataへの大きな攻撃者影響下のオフセットを計算し、割り当てサイズを超えて書き込みを実行します。この脆弱性は、攻撃者が提供するSIXELデータをデコードするあらゆる呼び出し元（img2sixelを含む）から悪用可能です。この脆弱性はバージョン1.8.7-r2で修正されました。

OpenImageIOは、VFXやアニメーションに関連するあらゆる画像ファイル形式の読み取り、書き込み、操作を行うためのツールセットです。3.0.18.0および3.1.13.0より前のバージョンでは、sgiinput.cppの265行目と274行目でRLEデコードループ内の境界チェックにOIIO_DASSERTが使用されていました。リリースビルドでは、OIIO_DASSERTは((void)sizeof(x))にコンパイルされ（dassert.hの210行目）、すべての境界チェックが実質的に無効になります。スキャンライン幅を超えるRLEカウントを持つ細工された.sgiファイルによってヒープバッファオーバーフローが発生し、クラッシュを引き起こします。この脆弱性は3.0.18.0および3.1.13.0で修正されています。

OpenImageIOは、VFXやアニメーションに関連するあらゆる画像ファイル形式の画像を読み書きおよび操作するためのツールセットです。バージョン3.0.18.0および3.1.13.0以前では、softimageinput.cppの469行目（混合RLE）および345行目（純RLE）で、ピクセルを書き込む前に走査線の残幅に対してランレングスの制限が行われていませんでした。生パケット経路（403行目）ではstd::minを使用して正しく制限されていますが、RLE経路ではこのチェックが省略されていました。細工された.picファイルにより最大65535バイトのヒープオーバーフローが発生します。この脆弱性はバージョン3.0.18.0および3.1.13.0で修正されています。

OpenImageIOは、VFXやアニメーションに関連するあらゆる画像ファイル形式の画像を読み書きおよび操作するためのツールセットです。バージョン3.0.18.0および3.1.13.0より前のバージョンには、DPXColorConverter.cpp内のQueryRGBBufferSizeInternal()関数に符号付き整数オーバーフローの脆弱性が存在します。細工されたDPX画像ファイルを処理するとヒープベースの境界外書き込みが発生します。この関数は32ビット符号付き整数算術を使用してバッファサイズを計算しますが、負の乗数（例えば、kCbYCrディスクリプタの場合はピクセル数 * -3 * バイト数、kABGRディスクリプタの場合はピクセル数 * -4 * バイト数）が含まれています。負の結果は別のバッファが不要であることを示すインバンドシグナルとして使われています。ピクセル数が十分に大きい場合、乗算はINT_MINをオーバーフローし、小さな正の値に巻き戻ります。dpxinput.cpp内の呼び出し元はこの正の値を必要なバッファサイズとして解釈し、m_decodebuf.resize()を介して過小割り当てされたヒープバッファを確保します。その後、freadを介して完全な画像データを書き込むため、ヒープバッファオーバーフローが発生します。攻撃者は細工されたDPXファイルを作成してこのオーバーフローを引き起こすことで、サービス拒否（クラッシュ）を引き起こしたり、OpenImageIOを使用してピクセルデータを読み込む任意のアプリケーションにおいてヒープ破損を介した任意のコード実行を潜在的に行ったりすることが可能です。この脆弱性は3.0.18.0および3.1.13.0で修正されています。

OpenImageIOは、VFX／アニメーションに関連するあらゆる画像ファイル形式の画像ファイルの読み書きおよび操作を行うツールセットです。バージョン3.0.18.0および3.1.13.0より前のバージョンでは、ConvertCbYCrYToRGB()内のピクセルループのインデックス式i * 3における符号付き32ビット整数のオーバーフローによって関数が出力バッファに対して大きな負のポインタオフセットを計算し、範囲外の書き込みが発生してプロセスがクラッシュする脆弱性が存在していました。この脆弱性はバージョン3.0.18.0および3.1.13.0で修正されています。

OpenImageIOは、VFXやアニメーションに関連するあらゆる画像ファイル形式の画像ファイルを読み書きおよび操作するためのツールセットです。バージョン3.0.18.0および3.1.13.0より前のバージョンでは、SwapRGBABytes()内のループインデックス式 i * 4 における符号付き32ビット整数のオーバーフローにより、大きな寸法を持つkABGR DPX画像を処理するときに関数が大きな負のポインタオフセットを計算してしまいます。直ちに発生するクラッシュは境界外読み取り（最初に45行目のmemcpyが &input[i * 4] から読み取る）となりますが、続く46〜49行目の書き込み操作は同じオーバーフローしたオフセットを対象としているため、境界外読み取りおよび書き込みの複合プリミティブとなります。この脆弱性はバージョン3.0.18.0および3.1.13.0で修正されています。

Premiere Proのバージョン26.0.2、25.6.4およびそれ以前のバージョンにはバッファオーバーフローの脆弱性が存在しており、現在のユーザーのコンテキストで任意のコードが実行される可能性があります。この問題を悪用するには、被害者が悪意のあるファイルを開くというユーザーの操作が必要です。

Premiere Proのバージョン26.0.2、25.6.4およびそれ以前のバージョンには、現在のユーザーのコンテキストで任意のコードを実行できる境界外書き込みの脆弱性があります。この問題を悪用するには、被害者が悪意のあるファイルを開く操作が必要です。

Media Encoder バージョン 26.0.2、25.6.4 およびそれ以前のバージョンは、現在のユーザーのコンテキストで任意のコードを実行される可能性がある境界外書き込みの脆弱性の影響を受けます。この問題を悪用するには、被害者が悪意のあるファイルを開く必要があります。

After Effectsのバージョン26.0、25.6.4およびそれ以前のバージョンは、境界外書き込みの脆弱性の影響を受けます。この脆弱性により、現在のユーザーのコンテキストで任意のコードを実行される可能性があります。この問題を悪用するためには、被害者が悪意のあるファイルを開くというユーザーの操作が必要です。

Substance3D - Designer バージョン15.1.0およびそれ以前のバージョンには、現在のユーザーのコンテキストで任意のコードを実行される可能性がある境界外書き込みの脆弱性が存在します。この問題を悪用するためにはユーザーの操作が必要であり、被害者が悪意のあるファイルを開かなければなりません。

Substance3D - Designer バージョン 15.1.0 およびそれ以前のバージョンには、現在のユーザーのコンテキストで任意のコードを実行される可能性がある境界外書き込みの脆弱性があります。この問題を悪用するには、被害者が悪意のあるファイルを開くというユーザー操作が必要です。

Substance3D - Designerのバージョン15.1.0およびそれ以前のバージョンには、境界外書き込みの脆弱性があります。この脆弱性により、現在のユーザーのコンテキストで任意のコードを実行される可能性があります。この問題を悪用するには、被害者が悪意のあるファイルを開く必要があります。

Substance3D - Designer バージョン 15.1.0 およびそれ以前のバージョンには、現在のユーザーのコンテキストで任意のコードが実行される可能性がある境界外書き込みの脆弱性があります。この問題を悪用するためには、被害者が悪意のあるファイルを開くというユーザー操作が必要です。

Linuxカーネルにおいて、以下の脆弱性が修正されました：perf/arm-cmnでサポートされていないハードウェア構成を拒否するように変更されました。これまでは、未知のCMNモデル（少なくとも警告を表示しながら）や既知のモデルの未知のリビジョンについては、かなり緩やかに受け入れていました。リリース間で頻繁に変更があるものの、通常は基本的な起動チェックに有用な部分が残っていたためです。しかし、さまざまな箇所で最大サポートサイズや数に関する仮定をしており、新しいモデルがより大きく悪質な配列オーバーフローを引き起こす可能性がありました。そこで、実際に想定に合致するもののみに対して処理を試み、メモリ破損のリスクを回避するようにしました。完全に未知のノードタイプでは常に失敗していたため、エラーメッセージも明確かつ一貫したものに更新しました。

Linuxカーネルにおいて、xfsのリーフブロックに拡張属性（xattrs）を追加する際のfreemap調整に関する問題が修正されました。この問題は、freemapエントリがエントリ配列と重複する不整合な状態を引き起こし、ASSERTが失敗することでファイルシステムがシャットダウンしてしまう原因となっていました。具体的には、freemapの調整が不十分であったため、エントリ配列と空き領域の境界が重なり、無効な状態が発生していました。修正では、すべてのfreemapエントリを適切に調整し、エントリ配列と重複しないようにすることで、この問題を解決しています。

Linuxカーネルにおいて、以下の脆弱性が修正されました。erofsでは、符号化されたエクステントに対するインターレースされたプレーン識別が修正されました。開始位置とオンディスク上の物理長さの両方がブロックサイズに揃っているプレーンデータのみがインターレースされたプレーンエクステントとして分類されるべきです。そうでない場合は、シフトされたプレーンエクステントとして扱う必要があります。この問題は、プレーンエクステントの物理長さが揃っていない圧縮イメージを使用したsyzbоtによって発見されました。このため、z_erofs_transform_plain()でOOB読み取りが発生する可能性があります。

境界外書き込みの問題は、入力検証を改善することで対処されました。この問題はiOS 18.7.9およびiPadOS 18.7.9、iOS 26.5およびiPadOS 26.5、macOS Sequoia 15.7.7、macOS Sonoma 14.8.7、macOS Tahoe 26.5で修正されています。悪意を持って細工されたファイルを解析すると、アプリが予期せず終了する可能性があります。

Illustratorのバージョン29.8.6、30.3およびそれ以前のバージョンは、範囲外書き込みの脆弱性の影響を受けます。この脆弱性により、現在のユーザーのコンテキストで任意のコードを実行される可能性があります。この問題を悪用するには、被害者が悪意のあるファイルを開く操作を行う必要があります。

Substance3D - Painter バージョン 12.0.2 およびそれ以前のバージョンには、任意のコード実行を引き起こす可能性がある境界外書き込みの脆弱性が存在します。この脆弱性を悪用するには、被害者が悪意のあるファイルを開くというユーザーの操作が必要です。

Substance3D - Painter バージョン 12.0.2 以前には、アウトオブバウンズ書き込みの脆弱性が存在し、これにより現在のユーザーのコンテキストで任意のコードを実行される可能性がありました。この問題を悪用するためには、被害者が悪意のあるファイルを開くというユーザーの操作が必要です。

Linuxカーネルにおいて、以下の脆弱性が修正されました：usb: chipidea: udc: _ep_nuke()内のDMAおよびSGクリーンアップの修正です。ChipIdea UDCドライバは、アクティブな転送中に切断されたUSBデバイスが再接続された際に「ページアラインされていないsgバッファ」エラーが発生する可能性があります。これは_ep_nuke()がDMAバッファのマッピング解除やscatter-gatherバウンスバッファのクリーンアップを適切に行わずにリクエストをガジェットレイヤに返すために起こります。根本原因は、マルチセグメントDMA転送中に切断が発生すると、リクエストのnum_mapped_sgsフィールドおよびsgt.sglポインタが古い値のまま残ることです。リクエストは-ESHUTDOWN状態でガジェットドライバへ返されますが、DMA状態は依然としてアクティブな状態です。もしガジェットドライバが再初期化せずに接続再開時にこのリクエストを再利用すると、古いDMA状態により_hardware_enqueue()はDMAマッピングをスキップし（num_mapped_sgsが0でないため）、解放済みまたは無効なDMAアドレスを使用しようとしてアラインメントエラーやメモリ破壊が生じる可能性があります。正常な完了パスである_hardware_dequeue()は、リクエストを返す前にusb_gadget_unmap_request_by_dev()およびsglist_do_debounce()を適切に呼び出します。_ep_nuke()パスも同様のクリーンアップを行い、リクエストをクリーンで再利用可能な状態で返す必要があります。修正内容としては、_ep_nuke()にDMAマッピング解除およびバウンスバッファのクリーンアップを追加し、_hardware_dequeue()のクリーンアップシーケンスを反映しました。具体的には、num_mapped_sgsが設定されている場合はusb_gadget_unmap_request_by_dev()を呼び出し、バウンスバッファが存在する場合はcopy=falseでsglist_do_debounce()を呼び出します。これにより、エンドポイントシャットダウンによりリクエストが返される際に古いDMAマッピングが残らないことが保証されます。また、sglist_do_debounce()へのfalseパラメータは、転送が中断されたシャットダウンパスに適したデータコピーを防ぐ役割を果たします。

Linuxカーネルにおいて、以下の脆弱性が修正されました。Bluetoothのhci_syncサブシステムにあるhci_le_big_create_sync関数内のスタックバッファオーバーフローの問題です。hci_le_big_create_sync()関数は、DEFINE_FLEXを使用してスタック上に0x11（17）個分のBISエントリを格納するstruct hci_cp_le_big_create_syncを割り当てています。しかし、conn-num_bisは最大HCI_MAX_ISO_BIS（31）個のエントリを保持可能であり、呼び出し元のhci_conn_big_create_sync()関数ではISO_MAX_NUM_BIS（0x1f）と照合されています。conn-num_bisが18から31の間の場合、conn-bisをcp-bisにコピーするmemcpyは、スタックバッファを最大14バイトも越えて書き込み、隣接するスタックメモリを破損します。この問題は簡単に再現可能であり、ISOソケットをbc_num_bis = ISO_MAX_NUM_BIS（31）でバインドし、listen()関数を呼び出すと、最終的にHCIコマンド同期ワーカーからhci_le_big_create_sync()がトリガーされ、KASANによって検出可能なスタック範囲外書き込みが発生します。バグの内容の例として、"BUG: KASAN: stack-out-of-bounds in hci_le_big_create_sync+0x256/0x3b0 Write of size 31 at addr ffffc90000487b48 by task kworker/u9:0/71"というエラーが報告されています。修正は、誤った0x11のDEFINE_FLEXのカウントを、conn-bisが実際に保持可能なBISエントリ最大数であるHCI_MAX_ISO_BISに変更することで行われました。