脆弱性情報（JVN）検索・一覧

Linuxカーネルにおいて、以下の脆弱性が修正されました。HIDのマルチタッチ機能において、レポート応答がリクエストと一致することを確認するチェックを追加しました。悪意のある（または不注意な）デバイスが、特定のレポートの機能要求に対して全く異なるレポートIDで応答する可能性がありました。これによりHIDコアが混乱し、OOB書き込みなどの悪質な副作用が発生する恐れがありました。そこで、応答のレポートIDが要求されたものと一致することを確認するチェックを追加し、一致しない場合は生のイベントの報告を省略して早期に戻るようにしました。

MacおよびiOSのGoogle ChromeのMediaコンポーネントにおける境界外書き込みの脆弱性により、バージョン148.0.7778.96より前では、遠隔の攻撃者が細工されたHTMLページを介してサンドボックス内で任意のコードを実行できる可能性がありました。この問題はChromiumでセキュリティ重大度中として評価されています。

Linuxカーネルにおいて、usb: gadget: f_uac1_legacyコンポーネントのコントロールリクエストのサイズ検証に関する脆弱性を修正しました。f_audio_complete()関数はreq-lengthバイトを4バイトのスタック変数にコピーしますが、req-lengthはホストに制御されるUSBリクエストから取得されるため、スタックの範囲外書き込みが発生する可能性がありました。本修正では、対応するコントロールセレクタの期待されるペイロードサイズとreq-actual値を検証し、期待されるデータ量のみを処理することで、ホスト制御の長さを固定サイズのスタックオブジェクトにコピーする問題を防止します。

Linuxカーネルのdrivers/xen/sys-hypervisor.cにおいて、バッファオーバーフローの脆弱性が存在します。HYPERVISOR_xen_version(XENVER_build_id)が返すビルドIDはヌル終端されていないため、sprintfがヌル終端を探して読み込みを続け、バッファオーバーフローが発生します。この問題はmemcpyの使用によって修正されました。

Google Chromeの148.0.7778.96以前のV8エンジンにおける境界外の読み取りおよび書き込みの脆弱性により、リモートの攻撃者が細工されたHTMLページを介してサンドボックス内で任意のコードを実行する可能性がありました。

Google Chromeの148.0.7778.96以前のバージョンのV8には境界外メモリアクセスの脆弱性があり、リモートの攻撃者が細工されたHTMLページを介してサンドボックス内で任意のコードを実行できる可能性がありました。

Google Chromeのバージョン148.0.7778.96以前のSkiaにおける境界外書き込みの脆弱性により、リモート攻撃者が細工されたHTMLページを介してレンダラープロセスを侵害し、サンドボックスを回避できる可能性がありました。

148.0.7778.96より前のGoogle ChromeのWebRTCにおける範囲外書き込みにより、リモートの攻撃者が細工されたHTMLページを介してサンドボックス内で任意のコードを実行できる可能性がありました。

以前に割り当てられたバッファのサイズを動的に変更している間に、その内容が変更されるとメモリ破損が発生します。

デバイスが省電力状態のときにIOCTLコマンドを処理すると、メモリが破損する問題。

Linuxカーネルにおいて、以下の脆弱性が修正されました。ext4ファイルシステムで、truncate操作によりファイルサイズがインラインデータの容量を超えた場合に、インラインデータからextentベースのストレージへ変換する処理をext4_setattr()に追加しました。これにより、インラインデータフラグが設定されたままファイルサイズがインラインで格納可能な容量を超える不整合な状態になることを防ぎます。修正前は、以下の手順でカーネルがBUG_ON()を発生させてクラッシュしていました。1. インラインフラグがセットされていて小さいサイズのinodeを持つファイルシステムをマウントする。2. truncate(file, 50MB)でサイズを拡張するがインラインフラグは解除されなかった。3. sendfile()がデータ書き込みを試みる。4. ext4_write_inline_data()はwrite_sizeがinline_capacityを超えたためBUG_ON()を引き起こしていました。クラッシュは、ext4_write_inline_data()がインラインストレージ内への書き込みを前提としている一方で、実際のインライン容量（i_blockで約60バイト、xattrsで約96バイト）よりもファイルサイズと書き込み要求が大幅に大きいために発生していました。修正では、setattrによる新しいファイルサイズがinodeの実際のインライン容量（EXT4_I(inode)-i_inline_size）を超えた場合に、サイズ変更前にファイルをextentベースのストレージに変換し不整合を防止します。これにより、truncate操作中にインラインデータフラグとファイルサイズの整合性が維持され、根本的な問題が解決されました。

Linuxカーネルにおいて、TH1520 AONファームウェアプロトコルドライバーの2つの問題が修正されました。1つ目は、不安全なポインタ演算によりバッファオーバーフローが発生する可能性があった問題を修正したことです。2つ目は、カスタムのエンディアン変換マクロを標準のカーネルのエンディアン変換マクロに置き換えることで、移植性と保守性が向上したことです。これらの修正により、GPUの電源投入シーケンスが正常に動作し、ドライバーのプローブが成功することが確認されました。

Linuxカーネルにおいて、以下の脆弱性が修正されました：rxrpcの非XDRキー事前解析におけるチケット長の検証漏れです。rxrpc_preparse()には、キーのペイロード解析のために2つの経路があります。XDR経路（大きなペイロード用）と非XDR経路（28バイト以下のペイロード用）です。XDR経路（rxrpc_preparse_xdr_rxkad()）はAFSTOKEN_RK_TIX_MAXに対してチケット長を正しく検証しますが、非XDR経路では行われていませんでした。このため、権限のないユーザーが非常に大きなチケット長を提供できてしまう問題がありました。後にrxrpc_read()でキーが読み込まれる際、トークン全体のサイズ（toksize）の計算がAFSTOKEN_LENGTH_MAXを超える値となり、WARN_ON()が発生します。[ 2001.302904] WARNING: CPU: 2 PID: 2108 at net/rxrpc/key.c:778 rxrpc_read+0x109/0x5c0 [rxrpc] この問題は、rxrpc_preparse()の非XDR解析経路においてチケット長がAFSTOKEN_RK_TIX_MAXを超えないことを確認するチェックを追加することで修正されました。この検証はXDR解析ロジックと同等に行われています。

Linuxカーネルにおいて、以下の脆弱性が修正されました。crypto: ccpにおいて、PSPコマンドが失敗した場合にCPUのIDをユーザースペースにコピーしようとしないようにしました。CPUのIDを取得する際、ファームウェアコマンドが失敗した場合はIDデータをユーザースペースにコピーしない仕様に変更しました。失敗は無効な長さ、つまりユーザースペースのバッファと長さが小さすぎる場合に発生します。この場合、ファームウェアが要求するバイト数をコピーするとカーネルが割り当てたバッファがオーバーフローし、ユーザースペースにデータが漏洩する可能性があります。BUG: KASAN: slab-out-of-boundsはinstrument_copy_to_user ../include/linux/instrumented.h:129 [inline]、_inline_copy_to_user ../include/linux/uaccess.h:205 [inline]、および_copy_to_user+0x66/0xa0 ../lib/usercopy.c:26で発生しました。64バイトの読み取りがアドレスffff8881867f5960でタスクsyz.0.906/24388によって実行されました。CPU: 130 UID: 0 PID: 24388 コマンド: syz.0.906 汚染状態: G U O 7.0.0-smp-DEV #28 PREEMPTLAZY 汚染詳細は[U]=ユーザー、[O]=OOT_MODULEです。ハードウェア名はGoogle, Inc. Arcadia_IT_80/Arcadia_IT_80、BIOSは12.62.0-0で2025年11月19日です。コールトレースはdump_stack_lvl、print_address_description、print_report、kasan_report、check_region_inline、kasan_check_range、instrument_copy_to_user、_inline_copy_to_user、_copy_to_user、copy_to_user、sev_ioctl_do_get_id2、sev_ioctl、vfs_ioctl、__do_sys_ioctl、__se_sys_ioctl、do_syscall_x64、do_syscall_64、entry_SYSCALL_64_after_hwframeです。ドライバがコマンド成功を通知しても、ファームウェアのエラーコードが異なる場合は警告を発してください。これは__sev_do_cmd_locked()がファームウェアエラー時に-EIOを返すことが期待されているためです。

Linuxカーネルにおいて以下の脆弱性が修正されました。crypto: ccp: PSPコマンドが失敗した場合にPDH証明書をユーザースペースにコピーしません。PDH証明書の取得時にファームウェアコマンドが失敗した場合、無効な長さが原因でバッファオーバーフローやユーザースペースへの情報漏洩が発生する可能性がありました。この問題に対して警告を出すことで、ドライバーがコマンド成功を示しつつもファームウェアのエラーを正しく処理できるようにしています。

Linuxカーネルにおいて、crypto: ccp: PSPコマンドが失敗した場合にCSRをユーザースペースにコピーしないよう修正されました。PEK CSRを取得する際、ファームウェアコマンドが失敗した場合はデータのコピーを行わず、これによりバッファオーバーフローやデータ漏洩のリスクを軽減します。この修正によって、ユーザースペースのバッファ長が小さすぎる場合にカーネルが割り当てたバッファをオーバーフローし、不正なメモリアクセスが発生する問題が解決されました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。ksmbdのipc_validate_msg()関数内でレスポンスサイズの検証を行います。ipc_validate_msg()は、攻撃者が制御可能なデーモンレスポンスのフィールドを固定構造体サイズに加算または乗算し、各レスポンスタイプの予想メッセージサイズを符号なし整数の算術で計算します。次の3つの場合にオーバーフローが発生する可能性があります。KSMBD_EVENT_RPC_REQUESTでは、msg_sz = sizeof(struct ksmbd_rpc_command) + resp-payload_szとなります。KSMBD_EVENT_SHARE_CONFIG_REQUESTでは、msg_sz = sizeof(struct ksmbd_share_config_response) + resp-payload_szとなります。KSMBD_EVENT_LOGIN_REQUEST_EXTでは、msg_sz = sizeof(struct ksmbd_login_response_ext) + resp-ngroups * sizeof(gid_t)となります。resp-payload_szは__u32型、resp-ngroupsは__s32型です。各加算は符号なし整数でラップする可能性があり、sizeof(gid_t)との乗算は符号付きとsize_tの混用であるため、負のngroupsは乗算前にSIZE_MAXに変換されます。ラップしたmsg_szの値がたまたまentry-msg_szと等しい場合、次の行でのサイズチェックを回避し、下流の消費者（smb2pdu.c:6742のrpc_resp-payload_szを使うmemcpyやksmbd_alloc_userのkmemdupでresp_ext-ngroupsを使用）が未検証の長さを信用してしまいます。RPC_REQUESTおよびSHARE_CONFIG_REQUESTのパスにはcheck_add_overflow()を使用し、整数オーバーフローを検出しつつ機能的なペイロードサイズを制限しません。ユーザー空間のksmbd-toolsはNetShareEnumAllのような呼び出しでNDRレスポンスを4096バイト単位で増加させるため、レスポンス側でのハードな転送上限は不適切です。LOGIN_REQUEST_EXTについては、resp-ngroupsが符号付きの[0, NGROUPS_MAX]範囲外であれば受付けず、ipc_validate_msg()でエラーを報告してIPC境界で検出できるようにしています。この制限により乗算・加算はUINT_MAXを大幅に下回ります。今後は冗長となるngroupsチェックとksmbd_alloc_user()内のpr_errを削除します。これはリクエスト側を強化したaab98e2dbd64（"ksmbd: 32ビットシステムでの整数オーバーフロー修正"）のレスポンス側に対応した修正です。

Linuxカーネルにおいて、以下の脆弱性が修正されました。ksmbdのsmb_check_perm_dacl()関数でACEの最小サイズを適切に要求するように改善されました。smb_check_perm_dacl()内の両方のACEウォークループは、残りのバッファが小さすぎる場合のみ防御しており、構造体より小さいと宣言されたace-sizeに対しては防御していませんでした。最初のチェックは4バイトのACEヘッダーが範囲内であることのみを要求しており、offset 4のaccess_req(4バイト)が読み取り可能であることは要求していませんでした。攻撃者が所有するファイルに細工されたDACLを設定すると、ace-sizeが4かつaces_sizeが4と宣言し、両方のチェックを通過した後、上位ループでgranted |= le32_to_cpu(ace-access_req);を、下位ループでcompare_sids(&sid, &ace-sid);を呼び出しますが、これはoffset 4のaccess_req(最大4バイトのOOB)およびoffset 8のace-sid(最大CIFS_SID_BASE_SIZE + SID_MAX_SUB_AUTHORITIES * 4バイトのOOB)を読み取る結果となります。これらの両ループを厳密化し、ace_sizeがoffsetof(struct smb_ace, sid) + CIFS_SID_BASE_SIZE以上であることを要求するようにしました。これは最小の有効なオンワイヤACEレイアウト（4バイトヘッダー＋4バイトaccess_req＋8バイトのsidベースでサブ認証なし）です。また、compare_sids()はsub_auth[]エントリを参照する前にsid.num_subauthがSID_MAX_SUB_AUTHORITIESを超えるACEを却下するようにしました。parse_sec_desc()は既に同等のチェックを実施していました（行441から448）が、smb_check_perm_dacl()は時間経過とともに検証が弱くなっていました。到達条件はファイルのACL設定権限を持つ認証済みSMBクライアントです。そのファイルに対するCREATE操作時にカーネルが保存されたDACLをsmb_check_perm_dacl()経由で走査し、OOB読み取りを引き起こします。これは事前認証ではなく、OOB読み取りの影響は攻撃者に反映されませんが、KASANレポートやカーネル状態の破損が発生する可能性があります。

Linuxカーネルにおいて、以下の脆弱性が修正されました。fs/ntfs3のジャーナルリプレイにおけるファイルレコードチェックで、check_file_record()関数はrec-totalをレコードサイズと比較して検証しますが、rec-usedは検証していませんでした。do_action()のジャーナルリプレイハンドラーはディスクからrec-usedを読み取り、memmoveの長さを計算する際にこの値を使用します。具体的には、DeleteAttributeではmemmove(attr, ..., used - asize - roff)、CreateAttributeではmemmove(..., attr, used - roff)、change_attr_sizeではmemmove(..., used - PtrOffset(rec, next))という形です。もしrec-usedが検証済み属性のオフセットより小さいか、レコードサイズより大きい場合、これらの引き算がアンダーフローして4KBバッファに大量のメモリコピーが発生する恐れがあります。この状況は一般的に非常に危険とされています。この問題は破損したファイルシステムが前提となるため、カーネルの脅威モデルには直接関係しませんが、ジャーナルリプレイ時の堅牢性を保つためには、このような明らかに範囲外の値を検証することが特に重要です。修正はrec-usedの値を適切に制限することで対処しました。本修正は、同じswitch文内で異なる値を検査したコミットb2bc7c44ed17（"fs/ntfs3: DeleteIndexEntryRootのスラブアウトオブバウンズ読み取りの修正"）と類似しています。

Nothings stbのバージョン1.22までにセキュリティ上の脆弱性が発見されました。この脆弱性はファイルstb_vorbis.cの関数start_decoderに影響を与えます。この脆弱性の悪用により、境界外書き込みが発生します。攻撃はリモートから実行される可能性があります。このエクスプロイトは公開されており、攻撃に使用される恐れがあります。ベンダーには早期にこの情報を開示しましたが、何らかの回答は得られていません。

Thunderbird ESR 140.10.0およびThunderbird 150.0.0に存在するメモリ安全性のバグです。これらのバグの一部はメモリ破損の証拠を示しており、十分な努力を払えば任意のコードを実行するために悪用できると推測されます。この脆弱性はFirefox 150.0.1、Firefox ESR 140.10.1、Thunderbird 150.0.1、およびThunderbird 140.10.1で修正されました。

Wireshark 4.6.0から4.6.4および4.4.0から4.4.14において、SBCコーデックのクラッシュによりサービス拒否が発生し、さらにコードが実行される可能性があります。

Wireshark 4.6.0から4.6.4および4.4.0から4.4.14におけるRDPプロトコルディセクタのクラッシュにより、サービス拒否やコード実行が発生する可能性があります。

FreeRTOS-Plus-TCPのIPv6ルーターアドバタイズメント処理におけるプレフィックス長フィールドの検証が不十分であるため、V4.2.6およびV4.4.1より前のバージョンにおいて、隣接するネットワークの攻撃者が最大有効長を超えるプレフィックス長の値を持つ細工されたルーターアドバタイズメントを送信すると、メモリ破損が引き起こされ、ヒープバッファオーバーフローが発生する可能性があります。IPv4 RAのみを処理するユーザーには影響がありません。この問題を緩和するために、利用可能になり次第修正済みバージョンにアップグレードすることを推奨します。

GNU Cライブラリバージョン2.2以降の非推奨関数であるns_printrrf、ns_printrrおよびfp_nqueryは、呼び出し元が指定したバッファ長を強制しません。このため、TSIGレコードを印刷する際に境界外書き込みが発生する可能性があります。

wolfSSLのPKCS7 SignedDataエンコーディング機能にスタックバッファオーバーフローの脆弱性があります。wc_PKCS7_BuildSignedAttributes()では、カスタム署名属性を追加する際に、固定サイズのsignedAttribs[7]配列の残りの空き容量ではなく、不正な容量値（esd-signedAttribsCount）がEncodeAttributes()に渡されます。アプリケーションがpkcs7-signedAttribsSzを、既に追加されているデフォルト属性の数を引いたMAX_SIGNED_ATTRIBS_SZ（デフォルト7）を超える値に設定すると、EncodeAttributes()は配列の境界を越えて書き込みを行い、スタックメモリを破損します。WOLFSSL_SMALL_STACKビルドでは、これがヒープの破損につながります。悪用するには、wc_PKCS7_EncodeSignedData()や関連する署名関数を呼び出す際に、信頼できない入力がsignedAttribs配列のサイズを制御できるアプリケーションが必要です。

wolfSSLのwolfSSL_d2i_SSL_SESSION()関数にはヒープバッファオーバーフローの脆弱性があります。SESSION_CERTSが有効な状態でセッションデータを逆シリアル化する際に、証明書およびセッションIDの長さが境界検証なしで信頼できない入力から読み取られます。そのため、攻撃者は固定サイズのバッファをオーバーフローさせてヒープメモリを破損させる可能性があります。この脆弱性を悪用するには、外部ソースから悪意のあるセッションが読み込まれる必要があります。内部セッションには影響がありません。

Google Chromeのバージョン147.0.7727.138以前のAngleにおける境界外読み取りおよび書き込みの脆弱性により、リモートの攻撃者が細工されたHTMLページを介してサンドボックスの制限を回避する可能性がありました。

MAGIX Music Editor 3.1には、FreeDB Proxy Optionsダイアログにバッファオーバーフローの脆弱性が存在します。この脆弱性により、ローカル攻撃者が構造化例外処理を悪用して任意のコードを実行可能です。攻撃者は悪意のあるペイロードを作成し、CDメニューのFreeDB Proxy OptionsのServerフィールドに貼り付けることで、設定が受け入れられた際にコード実行を引き起こせます。

Iperius Backup 5.8.1には、構造化例外処理（SEH）メカニズムにローカルバッファオーバーフローの脆弱性があります。悪意のあるファイルパスを提供することで、ローカル攻撃者が任意のコードを実行できる可能性があります。攻撃者は、外部ファイルの場所フィールドに細工されたペイロードを含むバックアップジョブを作成し、バックアップジョブの実行時にバッファオーバーフローを引き起こして、アプリケーション権限でコードを実行できるようにします。

Linuxカーネルにおいて、以下の脆弱性が修正されました。rxrpcの関数rxgk_do_verify_authenticator()に存在していたバッファオーバーリードの問題が修正されました。rxgk_do_verify_authenticator()は、nonceを確認する前にバッファサイズをチェックするように改善されました。

OP-TEEは、ArmのCortex-Aコア上でTrustZone技術を使用し、非セキュアなLinuxカーネルの補助として設計されたTrusted Execution Environment（TEE）です。バージョン3.13.0から4.10.0までの間で、`ta/pkcs11/src/object.c`の`entry_get_attribute_value()`における検査不足により、PKCS#11 TAヒープから境界外読み取りやクラッシュが発生する可能性があります。OOB読み取りと連鎖すると、PKCS#11 TA関数`PKCS11_CMD_GET_ATTRIBUTE_VALUE`または`entry_get_attribute_value()`が、不正なテンプレートパラメータによってテンプレートバッファの末尾から最大7バイト超過して読み取りを行い、PKCS#11オブジェクトの属性値の内容でテンプレートバッファの末尾を越えて書き込みを行うように騙される場合があります。コミットe031c4e562023fd9f199e39fd2e85797e4cbdca9、16926d5a46934c46e6656246b4fc18385a246900、および149e8d7ecc4ef8bb00ab4a37fd2ccede6d79e1caにはパッチが含まれており、バージョン4.11.0に含まれる予定です。

Linuxカーネルにおいて、次の脆弱性が修正されました：net: macbで統計情報に現在のキュー番号を使用する問題があります。統計情報用に確保されたメモリと実際に書き込まれるメモリ量に不一致が発生する可能性があります。gem_get_sset_count()はアクティブなキュー数に基づいて正しく統計数を計算しますが、gem_get_ethtool_stats()は最大キュー数を使って無差別にデータをコピーします。その結果、アクティブなキュー数がMACB_MAX_QUEUES未満の場合、KASANが検出したとおりOOB（境界外）書き込みが発生します。具体的なエラーはKASANのvmalloc-out-of-boundsであり、ethtoolタスクによる760バイトの書き込みが原因です。問題のアドレスは1ページのvmalloc領域に属しており、dev_ethtool関数で割り当てられています。修正はコピーされるサイズをアクティブなキュー数のみに基づくようにして問題を解決しています。

Linuxカーネルにおいて、iavfドライバーのiavf_get_ethtool_stats()関数で境界外書き込みの脆弱性が修正されました。iavfは誤ってreal_num_tx_queuesを使用していましたが、これは実行時に変化する可能性があり、安全なnum_tx_queuesを用いるべきでした。これにより、ethtoolの一部操作を同時に行った場合に境界外書き込みが発生し、メモリの破損やシステムの不安定化を引き起こす可能性がありました。関連する関数で不変なnum_tx_queuesを使用することで、この問題を解決しています。

LanSpy 2.0.1.159には、スキャンセクションにローカルバッファオーバーフローの脆弱性が存在し、これを悪用することでローカルの攻撃者が構造化例外処理（SEH）機構を利用して任意のコードを実行できます。攻撃者はegghunter技術を用いて悪意のあるペイロードを作成し、シェルコードを特定して実行し、SEHチェーンの操作と制御されたジャンプによってコード実行を引き起こすことが可能です。

LanSpy 2.0.1.159にはローカルのバッファオーバーフロー脆弱性があり、スキャンフィールドに過剰な入力を供給することで、攻撃者が命令ポインタを上書きできます。この脆弱性を利用すると、攻撃者は688バイトのパディングの後に4バイトの制御されたデータを含むペイロードを作成して、アプリケーションをクラッシュさせるか、潜在的にコード実行を達成できます。

Labcenter Electronics ProteusのPDSPRJファイル解析における境界外書き込みにより、リモートコード実行が可能となる脆弱性です。この脆弱性を利用すると、リモートの攻撃者はLabcenter Electronics Proteusの影響を受けるインストール環境上で任意のコードを実行できます。攻撃を成立させるにはユーザーの操作が必要であり、ターゲットが悪意のあるページを訪問するか、悪意のあるファイルを開く必要があります。問題の脆弱性はPDSPRJファイルの解析処理に存在し、ユーザー提供データの適切な検証が行われていないため、割り当てられたバッファの末尾を越える書き込みが発生します。攻撃者はこの脆弱性を利用して、現在のプロセスのコンテキストでコードを実行できます。この問題はZDI-CAN-25718として報告されています。

Labcenter Electronics ProteusのPDSPRJファイル解析における境界外書き込みによるリモートコード実行の脆弱性です。この脆弱性により、遠隔の攻撃者がLabcenter Electronics Proteusの影響を受けるインストール環境で任意のコードを実行できます。この脆弱性を悪用するには、対象ユーザーが悪意のあるページを訪問するか、悪意のあるファイルを開くなどの操作を行う必要があります。具体的な欠陥はPDSPRJファイルの処理に存在し、ユーザーから提供されたデータの適切な検証が行われないため、割り当てられたバッファの末尾を超える書き込みが発生します。攻撃者はこの脆弱性を利用して、現在のプロセスの権限でコードを実行できます。以前はZDI-CAN-25719として識別されていました。

Labcenter Electronics ProteusのPDSPRJファイル解析における境界外書き込みの脆弱性により、リモートコード実行が可能となる脆弱性です。この脆弱性により、遠隔の攻撃者がLabcenter Electronics Proteusの影響を受けるインストール環境上で任意のコードを実行できます。この脆弱性を悪用するには、ターゲットが悪意のあるページを訪問するか、悪意のあるファイルを開くなどのユーザー操作を行う必要があります。具体的な欠陥はPDSPRJファイルの処理に存在し、ユーザーから提供されたデータが適切に検証されていないため、割り当てられたバッファの末尾を越えた書き込みが発生します。攻撃者はこの脆弱性を悪用して、現在のプロセスのコンテキストでコードを実行できます。元はZDI-CAN-25720の脆弱性です。

Linuxカーネルにおいて、以下の脆弱性が修正されました：bpfにおけるINT_MINに対するインタプリタのsdiv/smodの未定義動作を修正しました。BPFインタプリタの符号付き32ビット除算および剰余の処理では、s32オペランドに対してカーネルのabs()マクロを使用しています。abs()マクロのドキュメント（include/linux/math.h）には、入力が型の最小値の場合、結果が未定義であると明記されています。DSTがS32_MIN（0x80000000）を含む場合、abs((s32)DST)は未定義動作を引き起こし、arm64/x86上でS32_MINをそのまま返します。この値はその後符号拡張されてu64の0xFFFFFFFF80000000となり、do_div()で誤った結果を算出します。検証器の抽象解釈（scalar32_min_max_sdiv）は範囲追跡のために数学的に正しい結果を計算しており、これが検証器とインタプリタ間の不一致を生み、境界外のマップ値アクセスが悪用される可能性があります。abs_s32()を導入し、符号付きオーバーフローを完全に回避するために、S32_MINを符号なしのu32にキャストしてから符号反転を行う形で正しく処理します。インタプリタのsdiv32/smod32ハンドラ内のabs((s32)...)の呼び出し箇所8か所をすべて置き換えています。s32のみが影響を受け、s64の除算/剰余ハンドラではabs()を使用していません。