脆弱性情報（JVN）検索・一覧

SSHチャネルで4GBを超えるデータを単一のWrite呼び出しで書き込む際に、内部のペイロードサイズ計算で整数オーバーフローが発生し、そのため書き込みループが無限に回転して進捗がなく、空のパケットを送り続ける問題がありました。現在、サイズの比較には切り捨てを防ぐためにint64を使用しています。

以前、CAに属する取り消された「SignatureKey」が正しく取り消しチェックされていませんでした。現在は、「key」と「key.SignatureKey」の両方が@revokedでチェックされるようになりました。

SandboxJSはJavaScriptのサンドボックスライブラリです。バージョン0.9.6以前では、サンドボックス内で定義された関数がFunction.callerを公開していました。これにより、サンドボックス化されたコードが内部のLispType.Callランタイムコールバックを取得できてしまいます。そのコールバックは攻撃者が制御する偽のコンテキストおよびobj値で呼び出すことが可能であり、ブロックされたホストの静的情報を抽出し、実際のホストのFunctionコンストラクタを復元し、任意のホストJavaScriptを実行できる脆弱性が存在していました。この脆弱性はバージョン0.9.6で修正されています。

free5GCは5Gコアネットワークのオープンソース実装です。バージョン4.2.2以前のfree5GCのNEFは、インバウンドのOAuth2/ベアラートークン認証なしで3gpp-pfd-management APIをマウントしていました。SBI上のNEFにアクセス可能なネットワーク攻撃者は、偽造または任意のベアラートークン（例：Authorization: Bearer not-a-real-token）を使用してPFD-managementトランザクションの状態を作成、読み取り、削除することができます。実行中の設定のServiceListでルートグループが宣言されていない場合でもこのルートグループにアクセス可能であるため、設定でサービスを無効にしていると思っている運用者も影響を受けます。この脆弱性はバージョン4.2.2で修正されました。

free5GCは5Gコアネットワークのオープンソース実装です。バージョン4.2.2以前のfree5GCのNEFは、3gpp-traffic-influence APIをインバウンドのOAuth2/ベアラートークン認証なしでマウントしています。SBI上のNEFにアクセス可能なネットワーク攻撃者は、Authorizationヘッダーがまったくない場合や偽造されたベアラートークン（例：Authorization: Bearer not-a-real-token）を用いる場合でも、traffic-influenceサブスクリプションの作成、読み取り、更新、削除を実行できます。これには、グループまたはany-UEのトラフィックスティアリングに影響を与えることを意図したAnyUeInd=trueのサブスクリプションの作成も含まれます。さらに、実行中の設定のServiceListに該当サービスが宣言されていなくてもルートグループに到達可能であるため、設定でサービスを無効化したと考えている運用者も依然として影響を受けます。この脆弱性はバージョン4.2.2で修正されました。

free5GCはオープンソースの5Gコアネットワーク実装です。バージョン4.2.2以前のfree5GCのNEFは、inbound OAuth2およびベアラートークン認証を行わずにnnef-oamルートグループをマウントしていました。SBI上のNEFに到達可能なネットワーク攻撃者は、AuthorizationヘッダーなしでOAMルートにアクセスでき、ハンドラーは200 OKを返します。現状のOAMハンドラーはnullを返すスタブですが、この構造的な欠陥はルートグループ単位でスコープされており、OAMルートグループ全体にはinbound認証ミドルウェアがありません。このグループに追加される将来の全てのOAM操作は、デフォルトで認証境界が欠落した状態を引き継ぎます。この脆弱性は4.2.2で修正されました。

free5GCはオープンソースの5Gコアネットワークの実装です。バージョン4.2.2以前のfree5GCのSMFは、OAuth2ベアラートークン認証ミドルウェアを使用せずにUPI管理ルートグループをマウントしていました。SBI上でSMFに到達可能なネットワーク攻撃者は、AuthorizationヘッダーなしでUPIエンドポイントにアクセスでき、そのリクエストはSMFのビジネスハンドラに到達します。動作中のDockerラボ環境においては、読み取り（GET /upi/v1/upNodesLinks）、書き込み（攻撃者が制御するUPノードおよびリンクペイロードを伴うPOST /upi/v1/upNodesLinks）、および削除（DELETE /upi/v1/upNodesLinks/{nodeID}）の各操作でこれが直接実証されました。この脆弱性はバージョン4.2.2で修正されています。

free5GCは5Gコアネットワークのオープンソース実装です。バージョン4.2.2以前のfree5GCのNEFは、inbound OAuth2/bearer-token認証なしでnnef-pfdmanagementルートグループをマウントしていました。SBI上のNEFに到達可能なネットワーク攻撃者は、偽造または任意のベアラートークン（例：Authorization: Bearer not-a-real-token）を使用して、GET /applicationsおよびGET /applications/{appID}を介してPFDアプリケーションデータを読み取り、さらにPOST /subscriptionsおよびDELETE /subscriptions/{subID}を介してPFD変更通知サブスクリプションの作成または削除を行うことが可能でした。これは他のNEF SBIの問題と同じ根本原因によるもので、ルートグループがinbound認証ミドルウェアなしでマウントされていたためです。OAMやtraffic-influenceグループとは異なり、nnef-pfdmanagementはランタイムのServiceList内に宣言されており、これは運用者がNRFからのOAuth2設定（receive: true）によって保護されることを期待する本番向けのパスでしたが、実際には保護されていませんでした。この脆弱性はバージョン4.2.2で修正されました。

以前、SSHサーバーの設定ミスにより認可がバイパスされる問題がありましたが、その問題は修正されました。パブリックキー以外の種類のコールバックが渡された場合に、送信元アドレスの検証がスキップされる脆弱性が存在していました。

パスワードおよびユーザー名のリセット機能は、「Force SSL」フラグが明示的に設定されていない場合、HTTPS接続に対してプレーンなHTTPリンクを作成してしまっていました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。net/tcp-md5では、MACの比較を定数時間で実行するように修正しました。タイミング攻撃を防止するため、MACは定数時間で比較する必要があります。この目的のために、適切なヘルパー関数を使用しています。

LinuxカーネルのネットワークTCPモジュールにおいて、MAC比較処理が定数時間で行われるように修正されました。これにより、タイミング攻撃のリスクを軽減できます。

Apache CXFのXKMSサーバーのLDAP証明書リポジトリにLDAPインジェクションの脆弱性が存在し、攻撃者がリポジトリから任意の証明書を取得できる可能性があります。ユーザーには、この問題を修正したバージョン4.2.1、4.1.6、または3.6.11へのアップグレードを推奨します。

不適切なアクセスチェックにより、com_users バッチタスクを介して権限を昇格させることが可能になる。

不適切なアクセスチェックにより、com_users バッチタスクを通じて特権昇格が可能になります。

不適切なアクセスチェックにより、com_usersグループの編集ウェブサービスエンドポイントを通じて権限が昇格可能となる。

pgAdmin 4サーバーモードにおける認可の脆弱性であり、サーバーグループ、サーバー、共有サーバー、バックグラウンドプロセス、デバッガーモジュールに影響します。複数のエンドポイントが、要求元ユーザーの識別でフィルタリングせずにユーザー所有オブジェクトを取得していました。認証済みユーザーは、オブジェクトIDを推測することで他のユーザーのプライベートサーバー、サーバーグループ、バックグラウンドプロセス、デバッガーの関数引数にアクセス可能でした。さらに、共有サーバー機能には複数の問題が含まれており、認証情報の漏洩（passexec_cmd、passfile、SSLキー）が発生しました。書き込み可能なpassexec_cmd（接続確立時に実行されるシェルコマンド）を介した特権昇格により、所有者のプロセスコンテキストで任意のコマンドを実行可能でした。SQLAlchemyセッションの変異による所有者データの破損も確認されています。いくつかの所有者限定フィールド（passexec_cmd、passexec_expiration、db_res、db_res_type）はAPI経由で非所有者によって書き込み可能であり、追加のフィールド（kerberos_conn、tags、post_connection_sql）はユーザーごとの永続性を欠いており、非所有者の編集により所有者のレコードが変更されていました。修正は、新しいserver_accessモジュールによるアクセス制御の集中化、UserScopedMixinによるすべてのユーザー所有モデルのスコープ設定、サーバーモードでアクセス拒否時にconnection_managerからHTTP 410を返す処理、merge / APIレスポンス / ServerManagerパスにおける非所有者向けの所有者限定フィールドの抑制、明示的な所有者限定書き込みガードの追加により行われました。修正は2つのプルリクエストで提供され、両者が参照されています。この問題はpgAdmin 4のバージョン9.15未満に影響を与えます。

IBM HTTP Server 8.5および9.0には、TLS相互認証（クライアント認証）を使用した構成においてリモートコード実行およびサービス拒否が発生する脆弱性があります。

IBM HTTP Server 8.5および9.0には、攻撃者がサーバー構成の一部に書き込みアクセス権を持つ環境で、サービス拒否を引き起こす脆弱性があります。

Drupalコアにおいて、SQLコマンドで使用される特殊要素の不適切な無害化によりSQLインジェクションが可能になる脆弱性が存在します。この問題は、Drupalコアのバージョン8.9.0から10.4.10未満、10.5.0から10.5.10未満、10.6.0から10.6.9未満、11.0.0から11.1.10未満、11.2.0から11.2.12未満、11.3.0から11.3.10未満に影響を及ぼします。

LiteSpeed User-End cPanelプラグインのバージョン2.4.5以前には、特権昇格（おそらくroot権限への）を可能にする脆弱性が存在し、2026年5月に実際に悪用されました。検出には、Bashでgrepコマンド grep -rE "cpanel_jsonapi_func=redisAble" /var/cpanel/logs /usr/local/cpanel/logs/ 2/dev/null を使用するのが最適です。出力がない場合は、脆弱性の悪用は発生していません。出力がある場合は、リスト内のIPアドレスを調査し、それらが有効なIPアドレスでない場合にはブロックすることを推奨します。被害の程度を判断するためには、検出されたIPアドレスによるシステムログの利用状況を確認してください。この問題はRedisの有効化および無効化機能の誤った処理に関連しています。推奨される最低バージョンは2.4.7です。

Apache Fory PyForyにおける信頼できないデータのデシリアライズに関する問題です。PyForyのReduceSerializerは、reduce-stateの復元およびグローバル名解決の際に、ドキュメント化されたDeserializationPolicyの検証フックをバイパスする可能性があります。アプリケーションは、厳格モードを無効にしたPyForyのPythonネイティブモードで攻撃者が制御するデータをデシリアライズし、かつDeserializationPolicyで安全でないクラス、関数、モジュール属性の制限に依存している場合に脆弱になります。本問題はApache Foryのバージョン1.0.0より前のバージョンに影響します。対策として、Apache Foryのユーザーには本問題を修正し、影響を受けるReduceSerializerパスに対してDeserializationPolicyの検証を強制するバージョン1.0.0以降へのアップグレードを推奨します。

FastNetMon Community Edition バージョン1.2.9までの dynamic_binary_buffer_t クラス（src/dynamic_binary_buffer.hpp）には、オフバイワンのヒープベースのバッファオーバーフローが含まれています。5つのメソッド（append_dynamic_buffer、append_data_as_pointer、append_data_as_object_ptr、memcpy_from_ptr、memcpy_from_object_ptr）は、正しいチェックである「if (offset + length maximum_internal_storage_size)」の代わりに誤った境界チェック「if (offset + length maximum_internal_storage_size + 1)」を使用しています。これにより、ヒープに割り当てられたバッファの末尾をちょうど1バイト超えて書き込みが行われる可能性があります。このクラスは BGP メッセージのエンコード/デコード、NetFlow テンプレート処理、および Flow Spec NLRI 構築に広く利用されています。攻撃者が FastNetMon インスタンスに対して（NetFlow、sFlow、IPFIX、または BGP の）ネットワークトラフィックを送信できる場合、このオーバーフローを引き起こし、ヒープメタデータを破損させることで任意のコード実行を達成する可能性があります。なお、append_byte() メソッドは正しい境界チェックを使用しており、この不整合を確認しています。

ハネウェルのコントロールネットワークモジュール（CNM）には、ウェブインターフェースにコマンドインジェクションの脆弱性があります。攻撃者はコマンド区切り文字を使ってこの脆弱性を悪用し、リモートコード実行（RCE）を引き起こす可能性があります。

nexent v1.7.5.2のバックエンドサービスには、ElasticSearchサービスインターフェースに未承認の任意ファイル削除の脆弱性があります。DELETE /{index_name}/documentsエンドポイントは適切な認証および認可制御を欠いており、ユーザーが提供するpath_or_urlパラメータの検証も行っていません。これにより、認証されていないリモート攻撃者が細工されたリクエストを送信し、ElasticSearchのインデックス内の任意のドキュメントおよびMinIOストレージシステム内の対応するファイルを削除できます。成功した攻撃はデータを破壊し、サービス拒否を引き起こします。

nexent v1.7.5.2のバックエンドサービスには、ファイル管理APIの任意のストレージファイル削除を許す脆弱性があります。DELETE /storage/{object_name:path} エンドポイントには認証、認可、および入力検証の仕組みが欠如しています。認証されていないリモート攻撃者は、ユーザーが制御するobject_nameパスパラメータを含む細工されたリクエストを送ることで、基盤となるMinIOストレージシステムから任意のファイルを削除できます。攻撃が成功した場合、データ損失やサービス拒否が発生します。

optimateプロジェクトのneural_magic_training.pyスクリプト内の_load_model()関数は、コミットa6d302f912b481c94370811af6b11402f51d377f（2024年7月21日）で任意のコード実行を許可します。ユーザーが--modelコマンドライン引数でディレクトリパスを指定すると、この関数はそのディレクトリ内のmodule.pyファイルを読み込み、Pythonのexec()関数を使ってその内容を直接実行します。この設計はファイルの内容を検証またはサニタイズしないため、入力ディレクトリを制御できる攻撃者はスクリプトを実行しているプロセスのコンテキストで任意のPythonコードを実行できます。

KittyはクロスプラットフォームのGPUベースのターミナルです。バージョン0.46.2以下では、kitty/graphics.cのhandle_compose_command()関数が符号なし32ビット算術演算を用いてオフセットの範囲検証を行っており、その過程で整数のラップアラウンドが発生する可能性があります。これによりヒープバッファのオーバーリードや書き込みが生じる恐れがあります。悪意のあるファイル、SSHログインバナー、またはパイプされたコンテンツを介してkittyターミナルにエスケープシーケンスを書き込める攻撃者は、ラップアラウンド後に範囲チェックを通過するよう細工したx_offsetやy_offset値を供給し、compose_rectangles()関数で大規模な範囲外ヒープメモリアクセスを引き起こすことが可能です。ユーザーの操作やデフォルト以外の設定は不要であり、攻撃者にはkittyターミナルウィンドウに出力を生成する能力のみが必要です。この問題はバージョン0.47.0で修正されました。

Linuxカーネルでは、以下の脆弱性が修正されました。kthreadに関しては、use-after-freeを防ぐためにkthreadの終了パスを統合しました。Guillaume氏はKUnitテスト中に、破損したRCUコールバック関数ポインタによりクラッシュが発生したことを報告しました。そのクラッシュはpidfsのrhashtable変換に起因しており、24バイトのrb_nodeが構造体pid内で8バイトのrhash_headに置き換えられたため、160バイトから144バイトにサイズが縮小されました。CONFIG_BLK_CGROUPなしのstruct kthreadも144バイトになります。CONFIG_SLAB_MERGE_DEFAULTとSLAB_HWCACHE_ALIGNの設定により、両方とも192バイトに切り上げられ、同じスラブキャッシュを共有しています。struct pid.rcu.funcとstruct kthread.affinity_nodeは共にオフセット0x78に位置しています。kthreadがmake_task_dead()経由で終了するとkthread_exit()をバイパスし、affinity_nodeのクリーンアップを逃します。free_kthread_struct()はメモリを解放しますが、このノードはまだグローバルなkthread_affinity_listにリンクされたままになっています。別のkthreadによる後続のlist_del()が、解放され再利用されたメモリに対してダングリングリストポインタを書き込み、pidのrcu.funcポインタを破損させることがあります。free_kthread_struct()のパッチは未処理のクリーンアップに対応するものではなく、すべてのkthread終了パスを統合しました。kthread_exit()をdo_exit()を呼び出すマクロに変更し、PF_KTHREADフラグが設定されたタスクのdo_exit()から呼び出されるkthread_do_exit()を新たに追加しました。これにより、make_task_dead()、直接do_exit()、kthread_exit()のいずれの終了パスでもkthread固有のクリーンアップが必ず行われます。公開ヘッダでは__to_kthread()を新しいtsk_is_kthread()アクセサに置き換え、kthread_exit()マクロを使用するモジュールコードが必要とするため、do_exit()関数をエクスポートしています。

Linuxカーネルにおいて、以下の脆弱性が修正されました。libcephのprocess_message_header()関数における潜在的な境界外読み取りを防止します。メッセージフレームが（悪意を持って）破損し、制御セグメントの長さがメッセージヘッダーのサイズ未満になる場合や、異なるフレームがメッセージフレームのように見える場合に、process_message_header()で境界外読み取りが発生する可能性があります。メッセージヘッダーをデコードする前に明示的な境界チェックを行うことで、この問題に対処しています。

Linuxカーネルにおいて、以下の脆弱性が修正されました。libcephのceph_handle_auth_reply()関数に存在した潜在的な境界外アクセスの問題を修正しています。このパッチは、CEPH_MSG_AUTH_REPLYタイプのメッセージによって引き起こされる可能性のあるceph_handle_auth_reply()内の境界外アクセスを解消します。ceph_handle_auth_reply()では、そのようなメッセージのpayload_lenフィールドの値がint型の変数に格納されていました。INT_MAXを超える値は整数オーバーフローを引き起こし、負の値として解釈されます。そのため、ポインタアドレスがこの値だけ減算され、その後ceph_decode_need()により割り当ての終了アドレスを超えないことのみが確認されていたため、そのアドレスにアクセスされてしまいました。この問題は、payload_lenのデータ型をu32に変更することで修正されました。加えて、非負の長さを保持する変数であるresult_msg_lenもu32に変更されました。また、payload_lenとresult_msg_lenをメッセージから読み取った直後に、全体のセグメント長を超えないことを保証する追加の妥当性チェックも導入されました。バグとしては、KASANによりceph_handle_auth_replyにおけるslab-out-of-boundsアクセスが検出され、関連するトレースが実行時に報告されました。idryomovによる修正では、payload_lenとresult_msg_lenのためのif文をceph_decode_need()に置き換えています。

PyTorch Lightningは、AIモデルを事前学習およびファインチューニングするための深層学習フレームワークです。バージョン2.6.2および2.6.2には、認証情報を収集する機能が導入されました。

Mattermostのバージョン11.6.xの11.6.0以前、11.5.xの11.5.3以前、11.4.xの11.4.4以前、および10.11.xの10.11.14以前において、統合URLのパストラバーサルを検証しない不具合が存在します。この脆弱性により、悪意のある認証済みユーザーがパストラバーサルを利用してシステム管理者のMattermost認証トークンを取得し、任意のAPIを呼び出すことが可能になります。

ScadaBRバージョン1.2.0には、認証が必要な重要機能に対して認証が欠如している脆弱性があります。この脆弱性により、認証されていない攻撃者がHTTP GETリクエストをSCADAシステムに送信し、任意のセンサー読み取り値を注入できる可能性があります。

ScadaBRバージョン1.2.0にはOSコマンドインジェクションの脆弱性が存在し、攻撃者がSCADAシステム上でroot権限としてコマンドを実行できる可能性があります。

ScadaBRバージョン1.2.0には、ハードコードされた認証情報が使用されている脆弱性が存在します。この脆弱性により、攻撃者は管理者としてSCADAシステムにアクセスできる可能性があります。

HP Linux Imaging and Printing ソフトウェアに潜在的なセキュリティ脆弱性が特定されました。この脆弱性により、細工された印刷データを処理する際の hpcups 処理経路における整数オーバーフローを介して、特権を昇格させたり任意のコードを実行したりできる可能性があります。

Linuxカーネルにおいて、以下の脆弱性が修正されました。nfsdにおけるNFSv4.0 LOCKリプレイキャッシュのヒープオーバーフローが修正されました。NFSv4.0のリプレイキャッシュは、エンコードされた操作応答を格納するために固定長の112バイトのインラインバッファ（rp_ibuf[NFSD4_REPLAY_ISIZE]）を使用しています。このサイズはOPEN応答に基づいて計算されており、最大1024バイトの可変長フィールドを含むLOCK拒否応答の変数長の競合ロック所有者を考慮していません（NFS4_OPAQUE_LIMIT）。既存の大きな所有者を持つロックと競合してLOCK操作が拒否された場合、nfsd4_encode_operation()は境界チェックなしにread_bytes_from_xdr_buf()を介して完全なエンコード応答を不足したリプレイバッファにコピーします。これにより、バッファの終わりから最大944バイトのスラブ外書き込みが発生し、隣接するヒープメモリが破損する恐れがあります。この問題は、2つの協調するNFSv4.0クライアントによってリモートから認証なしで悪用可能です。1つは大きな所有者文字列を持つロックを設定し、もう1つは競合するロックを要求して拒否を引き起こします。NFSD4_REPLAY_ISIZEを増やして完全な不透明フィールドを許容する方法もありますが、多くのロック所有者はそこまで大きくないため、すべてのstateownerのサイズが増加してしまいます。代わりに、リプレイバッファにコピーする前にエンコード応答の長さをNFSD4_REPLAY_ISIZEと比較して検査し、応答が大きすぎる場合はrp_buflenを0に設定してリプレイペイロードのキャッシュをスキップすることで修正しています。ステータスは引き続きキャッシュされ、クライアントは最初のリクエストで正しい応答を既に受け取っています。

Linuxカーネルのmedia: dvb-netのULE拡張ヘッダーテーブルにおける範囲外アクセスの脆弱性が修正されました。handle_one_ule_extension()関数内で、ule_mandatory_ext_handlers[]およびule_optional_ext_handlers[]テーブルは255要素で宣言されていますが、htypeが範囲外の255になる場合があり、不正な関数ポインタが呼び出される可能性がありました。修正では、htypeが配列の範囲内であるか検証し、範囲外の値の場合はSNDUを破棄する処理が行われます。

Linuxカーネルにおいて、以下の脆弱性が修正されました。netfilterのnf_conntrack_expectにおいて、expect-helperを使用する際に問題がありました。ctnetlinkおよび/procでヘルパー名をダンプする際にexpect-helperを使用しますが、マスターconntrackの参照を保持せずにnfct_help()を使用することは安全ではありません。期待を作成する際にユーザー空間が明示的なヘルパーを提供しない場合、既存の動作を維持するためにctnetlinkパスでexp-master-helperを使用します。ctnetlinkの期待パスはマスターconntrackとnf_conntrack_expectロックの参照を保持し、nfnetlinkグルーパスはskbに添付されたマスターctを参照します。