脆弱性情報（JVN）検索・一覧

Google Chrome 150.0.7871.46より前のバージョンのTintにおいて、境界外書き込みの脆弱性が存在しました。この脆弱性により、リモートの攻撃者が細工されたHTMLページを介してサンドボックスを脱出する可能性がありました。（Chromiumのセキュリティ深刻度：高）

Mac版Google Chromeのバージョン150.0.7871.46以前のANGLEにおける境界外書き込みの脆弱性により、リモートの攻撃者が細工されたHTMLページを介してサンドボックスから脱出する可能性がありました。（Chromiumセキュリティの深刻度：中）

Google Chrome 150.0.7871.46より前のバージョンのDawnにおいて、境界外の読み取りおよび書き込みの脆弱性が存在しました。この脆弱性により、リモートの攻撃者が細工されたHTMLページを介してサンドボックスを回避できる可能性がありました。（Chromiumセキュリティの重大度：重大です）

Google Chrome バージョン 150.0.7871.47 未満の ANGLE において、境界外の読み取りおよび書き込みが可能であったため、リモート攻撃者が細工された HTML ページを介してレンダラープロセスを侵害し、サンドボックスから脱出する可能性がありました。

Firefox 152.0.3 に存在するメモリ安全性のバグです。これらのバグの一部はメモリ破損の証拠を示しており、十分な努力をすればいくつかは任意のコードを実行するために悪用される可能性があると考えられています。この脆弱性は Firefox 152.0.4 で修正されました。

RTKLIB 2.4.3までのdecode_type1033関数には境界外書き込みの脆弱性が含まれており、長さカウンタを宛先バッファサイズに制限しないため、最大191バイトのオーバーフローが固定64バイトのディスクリプタフィールドに発生します。NTRIPまたはシリアルRTCM3補正ストリームを制御する攻撃者は、有効なCRCを持つtype-1033メッセージを作成して隣接するrtcm_tオブジェクトのメンバーを破損させることにより、任意のコードを実行したりサービス拒否を引き起こしたりする可能性があります。

FreeSWITCHは、専用の電話交換機から任意の汎用ハードウェア上で動作するソフトウェア実装へとデジタルトランスフォーメーションを可能にするソフトウェア定義のテレコムスタックです。バージョン1.11.1以前では、esl_recv_event()はContent-Lengthをatol()で解析し、その結果の符号や大きさを検査せずにmalloc(len + 1)に直接渡していました。悪意のある、または中間者攻撃を行うESLピアは、クライアントがそのピアに認証する前に負のContent-Lengthを持つフレームを送信することで、libeslにリンクされた任意のプロセスのヒープを破損させたりクラッシュさせたりする可能性があります。この問題はバージョン1.11.1で修正されました。

PerlのDBIバージョン1.648以前には、9つを超えるバインダーを持つSQLステートメントを事前解析する際にヒープオーバーフローが発生します。preparseメソッドはSQLのプレースホルダ文字を:pN形式の番号付きバインダーに展開しますが、バッファにはバインダーごとに3文字分しか割り当てられていません。プレースホルダの番号が10から99の場合は4文字、100から999の場合は5文字が必要です。

PerlのDBIバージョン1.648以前では、エラーが制限されたサイズのバッファに保存されていました。RaiseError、PrintError、またはHandleErrorが設定されている場合に返されるエラーメッセージは、長さの制限なしに200バイトのバッファに書き込まれていました。アプリケーション内でエラーテキストに影響を与えることができる攻撃者は、バッファオーバーフローを引き起こす可能性があります。

Mac版Google Chromeの149.0.7827.53より前のバージョンにおいて、ANGLEのバウンダリ外書き込みの脆弱性により、リモートの攻撃者が巧妙に作成されたHTMLページを介してレンダラープロセスを乗っ取り、サンドボックスから脱出を試みる可能性がありました。

Google Chromeのバージョン149.0.7827.53より前のコーデックに存在する境界外書き込みの脆弱性により、リモートの攻撃者が細工されたビデオファイルを用いてサンドボックスから脱出を試みる可能性がありました。

netty incubator codec.bhttpはJava言語で実装されたバイナリHTTPパーサーです。このライブラリはJNIを通じてBoringSSLのHPKE Cライブラリを使用し、Oblivious HTTP（RFC 9458）を実装しています。暗号処理のためのネイティブメモリアドレスを導出する際、0.0.22.Finalより前のバージョンは、`hasMemoryAddress()`を通じてメモリアドレスを公開しない直接ByteBufに対するフォールバックパスを提供していました。このフォールバックは`sun.misc.Unsafe`がNettyで利用できない場合に発生します。例えば、JVMが`-Dio.netty.noUnsafe=true`オプションで起動されている場合、SecurityManagerによってUnsafeアクセスが制限されている場合、または非HotSpot JVMで動作している場合が該当します。これらの設定では、Nettyのデフォルト`PooledByteBufAllocator`は`hasMemoryAddress()`がfalseを返す`PooledDirectByteBuf`インスタンスを返します。有効なJVM設定下で、認証されていないネットワーク攻撃者は、細工されたOHTTPリクエストを用いて暗号処理を引き起こすことで、OHTTPゲートウェイが他の同時接続に属するメモリを破損させ、隣接するプールドダイレクトバッファの内容を開示させることが可能です。この破損はAEADタグの検証成功に関係なく発生し、BoringSSLは失敗時に出力バッファをゼロ化します。情報漏洩経路により攻撃者は漏洩データを抽出する暗号鍵を取得できます。これにより、同じNettyバッファアリーナを共有するすべての接続の機密性と完全性が侵害されます。本問題はバージョン0.0.22.Finalで修正されました。

Google Chromeのバージョン149.0.7827.53以前のANGLEにおいて、境界外の読み取りおよび書き込みが発生する脆弱性がありました。この脆弱性により、リモートの攻撃者が細工されたHTMLページを利用してサンドボックスから脱出できる可能性がありました。

AndroidのGoogle Chromeバージョン149.0.7827.53より前のGPUにおける境界外書き込みの脆弱性により、リモートの攻撃者が細工されたHTMLページを介してサンドボックスを回避できる可能性がありました。

AndroidのGoogle Chrome 148.0.7778.216以前のバージョンにおいて、GPUの境界外書き込みの脆弱性により、リモートの攻撃者が細工されたHTMLページを利用してサンドボックスを回避できる可能性がありました。

Google Chrome 148.0.7778.216より前のバージョンにおいて、GPUの境界外書き込みの脆弱性により、リモートの攻撃者が細工されたHTMLページを利用してサンドボックスから脱出できる可能性がありました。

FreeRDPはリモートデスクトッププロトコルの無料実装です。バージョン3.26.0以前のFreeRDPのプラナービットマップデコーダーには、RLEプラナーデータのデコード時にヒープの境界外書き込みが発生する脆弱性が存在します。libfreerdp/codec/planar.c内のfreerdp_bitmap_decompress_planar()関数は、呼び出し元が提供する宛先ストライド(nDstStep)に対してX方向の宛先座標nXDstを検証していますが、内部の一時バッファpTempDataに書き込む際にも同様の検証を行っています。このチェックは大きなnDstStepと大きなnXDstを使うことで回避可能であり、その結果planar_decompress_plane_rle()がpTempDataの末尾を越えて書き込んでしまいます。この脆弱性はバージョン3.26.0で修正されました。

Samsung Open Source Escargotにおける境界外書き込み脆弱性により、バッファオーバーフローが発生する可能性があります。この脆弱性はEscargotのバージョン590345cc6258317c5da850d846ce6baaf2afc2d3に影響を与えます。

FastNetMon Community Edition バージョン1.2.9までの dynamic_binary_buffer_t クラス（src/dynamic_binary_buffer.hpp）には、オフバイワンのヒープベースのバッファオーバーフローが含まれています。5つのメソッド（append_dynamic_buffer、append_data_as_pointer、append_data_as_object_ptr、memcpy_from_ptr、memcpy_from_object_ptr）は、正しいチェックである「if (offset + length maximum_internal_storage_size)」の代わりに誤った境界チェック「if (offset + length maximum_internal_storage_size + 1)」を使用しています。これにより、ヒープに割り当てられたバッファの末尾をちょうど1バイト超えて書き込みが行われる可能性があります。このクラスは BGP メッセージのエンコード/デコード、NetFlow テンプレート処理、および Flow Spec NLRI 構築に広く利用されています。攻撃者が FastNetMon インスタンスに対して（NetFlow、sFlow、IPFIX、または BGP の）ネットワークトラフィックを送信できる場合、このオーバーフローを引き起こし、ヒープメタデータを破損させることで任意のコード実行を達成する可能性があります。なお、append_byte() メソッドは正しい境界チェックを使用しており、この不整合を確認しています。

KittyはクロスプラットフォームのGPUベースのターミナルです。バージョン0.46.2以下では、kitty/graphics.cのhandle_compose_command()関数が符号なし32ビット算術演算を用いてオフセットの範囲検証を行っており、その過程で整数のラップアラウンドが発生する可能性があります。これによりヒープバッファのオーバーリードや書き込みが生じる恐れがあります。悪意のあるファイル、SSHログインバナー、またはパイプされたコンテンツを介してkittyターミナルにエスケープシーケンスを書き込める攻撃者は、ラップアラウンド後に範囲チェックを通過するよう細工したx_offsetやy_offset値を供給し、compose_rectangles()関数で大規模な範囲外ヒープメモリアクセスを引き起こすことが可能です。ユーザーの操作やデフォルト以外の設定は不要であり、攻撃者にはkittyターミナルウィンドウに出力を生成する能力のみが必要です。この問題はバージョン0.47.0で修正されました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。nfsdにおけるNFSv4.0 LOCKリプレイキャッシュのヒープオーバーフローが修正されました。NFSv4.0のリプレイキャッシュは、エンコードされた操作応答を格納するために固定長の112バイトのインラインバッファ（rp_ibuf[NFSD4_REPLAY_ISIZE]）を使用しています。このサイズはOPEN応答に基づいて計算されており、最大1024バイトの可変長フィールドを含むLOCK拒否応答の変数長の競合ロック所有者を考慮していません（NFS4_OPAQUE_LIMIT）。既存の大きな所有者を持つロックと競合してLOCK操作が拒否された場合、nfsd4_encode_operation()は境界チェックなしにread_bytes_from_xdr_buf()を介して完全なエンコード応答を不足したリプレイバッファにコピーします。これにより、バッファの終わりから最大944バイトのスラブ外書き込みが発生し、隣接するヒープメモリが破損する恐れがあります。この問題は、2つの協調するNFSv4.0クライアントによってリモートから認証なしで悪用可能です。1つは大きな所有者文字列を持つロックを設定し、もう1つは競合するロックを要求して拒否を引き起こします。NFSD4_REPLAY_ISIZEを増やして完全な不透明フィールドを許容する方法もありますが、多くのロック所有者はそこまで大きくないため、すべてのstateownerのサイズが増加してしまいます。代わりに、リプレイバッファにコピーする前にエンコード応答の長さをNFSD4_REPLAY_ISIZEと比較して検査し、応答が大きすぎる場合はrp_buflenを0に設定してリプレイペイロードのキャッシュをスキップすることで修正しています。ステータスは引き続きキャッシュされ、クライアントは最初のリクエストで正しい応答を既に受け取っています。

Tenda AC6 15.03.06.49_multi_TDE01にセキュリティ上の脆弱性が発見されました。影響を受けるのはhttpdコンポーネントの/goform/WifiExtraSetファイル内のfromSetWirelessRepeat関数です。macおよびssid引数の操作によりOSコマンドインジェクションが発生します。この攻撃はリモートから実行可能です。エクスプロイトが公開されており、攻撃に悪用される可能性があります。

Linuxカーネルにおいて、以下の脆弱性が修正されました：ipv6: ioam: __ioam6_fill_trace_data()におけるヒープバッファオーバーフローの問題を修正しました。受信パスで、__ioam6_fill_trace_data()はtrace-nodelenを使って各ノードに書き込むデータの量を決定しますが、このフィールドを着信パケットの内容そのままで信頼し、trace-type（どのデータ項目が存在するかを示す24ビットフィールド）との整合性チェックを行っていませんでした。細工されたパケットがnodelenを0に設定しつつ、typeのビット0-21を設定すると、この関数は割り当てられた領域（skb_shared_info内）から約100バイト超過して書き込みを行い、隣接するヒープメモリを破壊し、カーネルパニックを引き起こします。対策として、ioam6.cに共有ヘルパー関数ioam6_trace_compute_nodelen()が追加され、typeフィールドから期待されるnodelenを導出し、以下の箇所で使用されています。・ioam6_iptunnel.c（送信パス、既存のバリデーション）では手作業の計算を置き換えています。・exthdrs.c（受信パス、ipv6_hop_ioam）では、データ書き込み前にnodelenがtypeフィールドと矛盾するパケットを破棄します。RFC 9197によれば、ビット12-21はそれぞれ4オクテットの短いフィールドであり、IOAM6_MASK_SHORT_FIELDSは0xff100000から0xff1ffc00に変更されています。

Linuxカーネルにおいて、以下の脆弱性が修正されました。net: do not pass flow_id to set_rps_cpu()。問題のあるコミットは、各受信キューのRPSテーブルのサイズが同じであり、そのサイズが変わらないことを前提にしていました。set_rps_cpu()内でflow_idを計算し、get_rps_cpu()で計算された値を使用できると仮定しないように修正しました。そうしないと、範囲外アクセスやクラッシュのリスクが発生します。

Linuxカーネルにおいて、以下の脆弱性が修正されました。dlm_search_rsb_tree関数における長さの検証が不足していました。具体的には、dlm_dump_rsb_name()のlenパラメータは検証されず、ネットワークメッセージから直接取得されていました。もしこの値がDLM_RESNAME_MAXLENを超える場合、dlm_search_rsb_tree()内で境界外書き込みが発生する可能性があります。潜在的なバッファオーバーフローを防ぐために、長さの検証を追加しました。

Palo Alto NetworksのPAN-OSソフトウェアにおけるUser-ID認証ポータル（別名Captive Portal）サービスにバッファオーバーフローの脆弱性があります。この脆弱性により、認証されていない攻撃者が特別に細工されたパケットを送信すると、PA-SeriesおよびVM-Seriesファイアウォール上でroot権限の任意のコードを実行できる可能性があります。この問題のリスクは、ベストプラクティスガイドラインhttps://knowledgebase.paloaltonetworks.com/KCSArticleDetailに従い、User-ID認証ポータルへのアクセスを信頼できる内部IPアドレスのみに制限することで大幅に低減されます。Prisma Access、Cloud NGFW、およびPanoramaアプライアンスはこの脆弱性の影響を受けません。

Linuxカーネルにおいて、以下の脆弱性が修正されました。ksmbdのsmb2_get_ea()関数のEAアライメントにおける境界外書き込みの問題を修正しました。smb2_get_ea()は各EAエントリを書き込んだ後にmemset()を用いて4バイト境界のパディングを適用します。buf_free_lenの境界チェックはmemcpyの前に行われますが、その後のアライメントmemsetは残りのスペースを確認せずに無条件で実行されます。EA値がちょうど残りのバッファを満たす場合（buf_free_lenが値の減算後に0になる場合）、アライメントmemsetはbuf_free_lenの境界を1〜3バイト超えてNULLバイトを書き込みます。複数コマンドで応答バッファが共有される複合リクエストでは、最初のコマンド（例：READ）がバッファの大部分を消費し、QUERY_INFOのEA応答に非常にわずかな空きしか残さないことがあります。この時、アライメントmemsetは物理的なkvmalloc割り当てを超えて隣接するカーネルヒープメモリを上書きします。そこで、アライメントmemsetの前に境界チェックを追加し、buf_free_lenがパディングバイトを格納できることを保証しました。このバグパターンはcommit beef2634f81f（"ksmbd: fix potencial OOB in get_file_all_info() for compound requests"）およびcommit fda9522ed6af（"ksmbd: fix OOB write in QUERY_INFO for compound requests"）で修正されたものと同様であり、両者ともQUERY_INFO応答ハンドラに無条件書き込み前の境界チェックを追加しています。

hashcat v7.1.2のsrc/rp_cpu.c内のmangle_to_hex_lower()およびmangle_to_hex_upper()に存在するスタックベースのバッファオーバーフローにより、攻撃者は細工されたルールファイルや128文字以上のパスワード候補とともに使用される-jまたは-kルールオプションを通じて、サービス拒否を引き起こすか、任意のコードを実行する可能性があります。この脆弱性は、パスワードバイトが16進数に変換される際に2倍の拡張を考慮していない境界チェックの失敗によって生じます。

hashcat v7.1.2のKerberosハッシュパーサーにおけるヒープベースのバッファオーバーフローにより、攻撃者が細工されたKerberosハッシュファイルを通じてサービス拒否（DoS）を引き起こしたり、場合によっては任意のコードを実行したりする可能性があります。この問題は、複数のKerberos関連モジュールのmodule_hash_decodeに影響を及ぼし、account_info_lenが信頼できない区切り文字の位置から計算されるため、上限検証なしにmemcpyが固定サイズのaccount_infoバッファにデータをコピーしてしまうことに起因します。

hashcat v7.1.2 の PKZIP ハッシュパーサ内の hex_to_binary におけるヒープベースのバッファオーバーフローにより、攻撃者は細工された PKZIP ハッシュファイルを介してサービス拒否を引き起こしたり、任意のコードを実行したりする可能性があります。この問題はモジュール 17200、17210、17220、17225、および 17230 に影響します。data_type_enum が 1 以下の場合、攻撃者が制御するユーザー提供のハッシュ文字列からの 16 進データが、適切な入力長検証なしに固定サイズのバッファにデコードされます。

Exim 4.99.2より前のバージョンにおいて、JSONルックアップが有効な場合、信頼できないヘッダー内の不正なJSONにJSONオペレーターが遭遇すると、バックスラッシュ（\）の処理が不適切に実装されているため、ヒープ上での境界外書き込みが発生する可能性があります。

GeoVision GV-VMS V20 20.0.2のWebCamサーバーログイン機能にスタックオーバーフローの脆弱性があります。特別に細工されたHTTPリクエストによって、任意のコードを実行できる場合があります。攻撃者は認証されていないHTTPリクエストを送信して、この脆弱性を悪用できます。

GeoVision GV-VMS V20 20.0.2のWebCamサーバーログイン機能にスタックオーバーフローの脆弱性があります。特別に細工されたHTTPリクエストにより、任意のコードを実行される恐れがあります。攻撃者は認証されていないHTTPリクエストでこの脆弱性を誘発できます。制限のないsscanfによるスタックオーバーフローについて説明します。sscanf呼び出しは、Buffer変数をusernameおよびpassword変数に分割しますが、抽出された内容のサイズを宛先バッファのサイズに制限していません。この場合、認証文字列からデコードされたユーザー名またはパスワードがいずれも40文字（スタック変数usernameおよびpasswordのサイズ）を超えると、スタックオーバーフローが発生します。データは攻撃者により制御されますが、ヌルバイト禁止などの強い制約があると悪用が難しくなる可能性があります。攻撃が成功すると、サービスを実行しているマシン上でSYSTEM権限として完全なコードを実行される恐れがあります。

Linuxカーネルにおいて、以下の脆弱性が修正されました。ip6_tunnelのip4ip6_err()関数内でskb2-cb[]をクリアしない問題がありました。Oskar Kjos氏より次の問題が報告されました。ip4ip6_err()はIPv6受信経路でstruct inet6_skb_parmとして書き込まれたcb[]を持つ複製されたskbを使い、icmp_send()を呼び出します。icmp_send()はIPCB(skb2)を__ip_options_echo()に渡しますが、ここでcb[]領域をIPv4としてstruct inet_skb_parmとして解釈します。レイアウトが異なるため、inet6_skb_parmのnhoff(オフセット14)はinet_skb_parmのopt.rrと重なり、非ゼロのrr値が生成されます。__ip_options_echo()はその後、攻撃者が制御するパケットデータsptr[rr+1]からoptlenを読み取り、固定長40バイトのスタックバッファ(IP_OPTIONS_DATA_FIXED_SIZE)であるdopt-__dataにそのバイト数をコピーします。この問題を修正するために、Oskar Kjosの提案に従ってskb2-cb[]をクリアしました。また、最小限のIPv4ヘッダ検証(version == 4かつihl = 5)も追加しました。

wolfSSLのCRLパーサーにおいて、CRL番号を解析する際に二つのバッファオーバーフロー脆弱性が存在しました。CRL番号を16進文字列として不適切に格納すると、ヒープベースのバッファオーバーフローが発生する可能性があります。また、十分なサイズのCRL番号に対してはスタックベースのオーバーフローが発生します。適切に細工されたCRLによって、これらの境界外書き込みのいずれかが引き起こされる可能性があります。この問題はCRLサポートを明示的に有効にしたビルドにのみ影響し、ユーザーが信頼できないソースからCRLを読み込む必要があります。

TLSX_EchChangeSNIにおいて、ctx-extensionsブランチはTLSX_FindがNULLを返した場合でも条件なしに拡張機能を設定していました。これにより、TLSX_UseSNIは内部SNIが構成されていない場合でも攻撃者が制御するpublicNameを共有WOLFSSL_CTXに添付してしまいました。TLSX_EchRestoreSNIはserverNameX != NULLによって削除を制限していたため、それをクリーンアップできませんでした。内部のClientHelloは汚染の前にサイズが決定されていましたが、その後に書き込まれたため、TLSX_SNI_Writeは割り当て境界を255バイト超えてmemcpyを行いました。

rust-opensslはRustプログラミング言語向けにOpenSSLバインディングを提供します。バージョン0.9.27から0.10.78未満の間、Deriver::derive（およびPkeyCtxRef::derive）はlen = buf.len()を設定し、これをEVP_PKEY_deriveへの入出力長さとして渡しており、OpenSSLがこれを尊重することに依存していました。OpenSSL 1.1.xでは、X25519、X448、DHおよびHKDF-extractは受信した*keylenを無視し、条件なく完全な共有秘密（32/56/素数サイズのバイト）を書き込みます。短いスライスを渡した呼び出し元は安全なコードからヒープやスタックのオーバーフローを引き起こします。OpenSSL 3.xのプロバイダーはこのチェックを行うため、この問題は古いOpenSSLにのみ影響します。この脆弱性は0.10.78で修正されました。

rust-opensslはRustプログラミング言語向けのOpenSSLバインディングを提供しています。バージョン0.10.78未満では、aes::unwrap_key()に誤ったアサーションが含まれていました。具体的には、out.len() + 8 = in_.len() をチェックしていますが、この条件は逆になっています。本来の不変条件は out.len() = in_.len() - 8 であり、これにより出力バッファが十分な大きさであることを保証します。逆になったチェックのため、この関数は最小必要サイズと同じかそれ以下のバッファしか受け入れず、大きいものは拒否します。より小さいバッファが提供された場合、関数は out の末尾を in_.len() - 8 - out.len() バイト分書き越してしまい、安全な公開関数からの境界外書き込みが発生します。この脆弱性はバージョン0.10.78で修正されました。

SamsungオープンソースEscargotにおける境界外書き込みの脆弱性によりバッファオーバーフローが発生します。この問題はEscargotのバージョン97e8115ab1110bc502b4b5e4a0c689a71520d335に影響を与えます。

Dell PowerProtect Data Domainのドメインオペレーティングシステム(DD OS)の機能リリースバージョン7.7.1.0から8.6、およびLTS2025リリースバージョン8.3.1.0から8.3.1.10、さらにLTS2024リリースバージョン7.13.1.0から7.13.1.60に、スタックベースのバッファオーバーフローの脆弱性が存在します。認証されていないリモート攻撃者がこの脆弱性を悪用すると、任意のコマンドを実行される可能性があります。