脆弱性情報（JVN）検索・一覧

Copilot Chat（Microsoft Edge）において、下流のコンポーネントで使用される出力内の特殊要素が適切に無害化されていない（「インジェクション」）ため、不正な攻撃者がネットワークを介して情報を漏洩させる可能性があります。

7-Zipは高い圧縮率を持つファイルアーカイバです。バージョン9.34から26.00までには、32ビットビルドにおけるSquashFSフラグメントオフセットの整数オーバーフローによりヒープメモリ情報漏洩の脆弱性が存在します。SquashFSのReadBlock関数で発生する32ビット整数オーバーフローにより、攻撃者が制御するnode.Offset値がフラグメント境界チェックを回避でき、memcpyがキャッシュバッファの前のヒープメモリを抽出ファイルに読み込んでしまいます。この脆弱性は、size_tが32ビットである7-Zipの32ビットビルドでのみ悪用可能で、offsetInBlock + blockSizeの加算が2の32乗でモジュロ演算としてラップアラウンドしてしまいます。64ビットビルドでは加算が64ビットに昇格され、チェックが正しく入力を拒否します。バージョン26.01でこの問題は修正されました。

7-Zipは高い圧縮率を持つファイルアーカイバです。バージョン26.00以前には、NTFS圧縮ストリームバッファの過小割り当て（GetCuSizeのシフトによる未定義動作）に起因するヒープバッファオーバーフローの脆弱性が存在し、攻撃者が任意のコードを実行したりアプリケーションをクラッシュさせたりする可能性がありました。NTFSハンドラ内のCInStream::GetCuSize()は、圧縮単位バッファのサイズを(UInt32)1 (BlockSizeLog + CompressionUnit)として計算します。ClusterSizeLogが28以上かつCompressionUnitが4の細工されたイメージは指数を32に設定しており、これは未定義動作でありx86/x64環境上で異常動作を引き起こし、_inBufが1バイトで割り当てられます。ReadStream_FALSEはその1バイトのバッファに最大256MBの攻撃者制御データを64KBずつ書き込みます。CInStreamオブジェクトが_inBufのわずか304バイト後ろにあるため、そのvtableポインタが上書きされ、次に呼び出される関数呼び出しでvtableの乗っ取りが実現します。32ビットビルドでは無条件にオーバーフローが発生します。64ビットでは並行して8GBの_outBuf割り当てが成功する必要があり、そうでなければサービス拒否に繋がります。NTFSハンドラは標準の7z.dllでデフォルトで有効になっており、シグネチャベースのフォールバックマッチ「NTFS 」がオフセット3で検出されることで、拡張子に関係なく細工されたイメージを解凍やテスト時に開きます。バージョン26.01でこの問題は修正されました。

7-Zipは高い圧縮率を持つファイルアーカイバです。バージョン9.34から26.00にかけて、WIM（Windows Imaging）アーカイブハンドラのセキュリティディスクリプタルックアップにおいて、ヒープベースのオフバイワンの境界外読み取り脆弱性が含まれていました。CHandler::GetSecurity（CPP/7zip/Archive/Wim/WimHandler.cpp）では、各イメージのSecurOffsetsテーブルはnumEntries + 1個の累積オフセットを保持していますが、チェックのsecurityId = SecurOffsets.Size()はsecurityId == numEntriesを許容します。そのため、関数はSecurOffsets[securityId + 1]を読み取り、ヒープ割り当てされたCRecordVectorの末端の1つ先のUInt32を取得します。operator[]では境界チェックが行われません。securityIdはWIMメタデータ内の任意のディレクトリエントリのオフセット+0xCで攻撃者に制御されており、ハンドラは.wim、.swm、.esd、および.ppkgに登録され、標準の7z.dllでデフォルトで有効です。この境界外読み取りはGUIのゼロクリックでトリガーされます。7zFM.exeのListViewはリスト表示時に全アイテムに対してGetRawProp(kpidNtSecure)を呼び出すため（ASan確認済み）、CLIの7zz l -sltコマンドによるリスト表示でも実行されます。影響は強化されたアロケータ下でのサービス妨害に限定されます。境界外の値は算術的に長さとしてのみ使用され、攻撃者に直接示されないため、軽微な情報漏洩も発生しますが、書き込みプリミティブは存在しません。

7-Zipは高い圧縮率を持つファイルアーカイバです。バージョン9.21から26.00までには、UEFIファームウェアイメージパーサ（CPP/7zip/Archive/UefiHandler.cpp）のParseDepedencyExpression関数にオフバイワンの境界外読み取り脆弱性が存在します。この関数は10エントリのkExpressionCommands静的配列の要素数に対して、=ではなくを使用して攻撃者が制御するオペコードバイトを検証するため、オペコード値10が配列の終わりの1ポインタスロット（x64では8バイト）を.rodata上で読み取ることを許してしまいます。境界外の値はconst char *として逆参照され、その後strlenとmemcpyを経てアーカイブのCharactsプロパティに渡されます。これにより、隣接するバイトが有効な読み取り可能なポインタを形成しない場合にはサービス拒否（アクセス違反）を引き起こし、隣接する.rdataの文字列リテラルがアーカイブのメタデータに少量漏洩する可能性があります。この脆弱性は、SECTION_DXE_DEPEX（0x13）またはSECTION_PEI_DEPEX（0x1B）セクションの最初の本文バイトが0x0Aである場合にOpenFv/OpenCapsule → ParseVolume → ParseSectionsの呼び出し経路を通じてIInArchive::Open()時に自動的に利用されます。UEFIハンドラは標準の7z.dllでUEFIcとUEFIfの両形式に対するシグネチャベースの検出がデフォルトで有効です。結果（クラッシュか無音の情報漏洩か）はビルドごとに決定されますがリンカのレイアウト依存であり、書き込みプリミティブの発生やヒープデータ、秘密情報、ASLRベースアドレスの漏洩はありません。バージョン26.01でこの問題は修正されています。

認証なしのデバッグサービスが存在します。/sbin/mtk_dut バイナリは TCP ポート 9000 で認証なしに公開されており、これにより LAN 内の任意の攻撃者が任意の UCC コマンドを実行できる可能性があります。

Wi-Fiデバイスのブロッキング機能がMACアドレス入力のサニタイズに失敗し、任意のシェルコマンドをインジェクションして実行可能となります。

破損したアクセス制御により、認証されたユーザーが水平権限昇格を実行できる可能性があります。この脆弱性は特定の構成にのみ影響します。

X.Org XサーバーおよびXwaylandにスタックベースのバッファオーバーフローの脆弱性が発見されました。XサーバーとlibXfont2ライブラリの最大フォント名長の不一致により、フォントエイリアス解決時にスタックバッファオーバーフローが発生する可能性があります。サーバーは256バイトのスタックバッファを割り当てますが、libXfont2のエイリアスターゲット名の長さは1024バイトです。257バイトから1023バイトの間のフォントエイリアス名が存在すると、Xサーバーは追加のチェックなしにその名前をサイズ不足のスタックバッファにコピーします。これにより、サーバーがクラッシュしたり、Xサーバーがrootとして実行されている場合に権限昇格を招く可能性があります。

X.Org XサーバーおよびXwaylandのmiSyncDestroyFence()に、使用後解放(use-after-free)の脆弱性が発見されました。複数のフェンストリガーを設定するクライアントが、使用後解放された関数ポインタを呼び出してしまう可能性があります。攻撃者はXサーバーに接続してフェンスを設定し、そのフェンスを待機します。その後、別のX接続がフェンスを破壊し、使用後解放状態を引き起こします。これによりサーバーがクラッシュしたり、Xサーバーがroot権限で実行されている場合は権限昇格に利用される可能性があります。

X.Org XサーバーおよびXwaylandにはスタックベースのバッファオーバーフローの脆弱性があります。Xサーバー内の複数のスタックバッファは必要なサイズより小さいですが、関数CheckKeyTypes()がキータイプの検証を適切に行わず、過剰なシフトレベルを許可しています。これにより攻撃者は細工したキータイプを送信してスタックオーバーフローを引き起こし、サーバーがクラッシュしたり権限昇格が発生したりする可能性があります。この問題は過去の修正が不十分だったために発生しています。

X.Org XサーバーおよびXwaylandにスタックベースのバッファオーバーフローの脆弱性が見つかりました。_XkbSetMapChecks()関数は、キータイプインデックスでインデックス指定される固定サイズのスタックバッファmapWidths[256]を宣言しています。ヘルパー関数CheckKeyTypes()は、クライアントが制御するオフセットでこのバッファに書き込みを行うため、スタックバッファオーバーフローを引き起こす可能性があります。これによりサーバーをクラッシュさせたり、Xサーバーがrootとして実行されている場合には権限昇格に利用されたりする可能性があります。

Vertexは、PT（プライベートトラッカー）ユーザーがストリーミングおよびビデオ視聴を管理するための管理ツールです。コミットfbde301b97986d5913fc4bc95f5445750d282e11より前のバージョンにはパストラバーサルの脆弱性が存在します。ユーザーはパッチが適用されたコミットfbde301b97986d5913fc4bc95f5445750d282e11を含むバージョンにアップグレードする必要があります。

Bitdefender Napocaのベアメタルハイパーバイザーには、napoca/guests/bios_handlers.cで実装されているBIOSのINT 0x15 / E820メモリマップハンドラにおいて、境界外書き込みの脆弱性があります。このハンドラは、ゲストのESおよびEDIレジスタの値に基づいてゲストのRealModeMemoryバッファへの書き込み先オフセットを計算しますが、結果のアドレスが1MBのRealModeMemory割り当て内に収まるかどうかを検証しません。リアルモードで動作する悪意のあるゲストは、INT 0x15をAX=0xE820、EDX=0x534D4150、ECXが20以上、EBX=0、ES=0xFFFF、EDI=0xFFFFで呼び出すことにより、この問題を引き起こす可能性があります。これにより、RealModeMemoryバッファの末尾から最大20バイトを超えてハイパーバイザのヒープに書き込みが行われる可能性があります。この製品は割り当て時点でサポートを終了しており、現在はサポートされていません。

Bitdefender Napoca ベアメタルハイパーバイザーの napoca/kernel/handler.c に実装されているリアルモードフックハンドラには、境界外書き込みの脆弱性があります。このハンドラは、ゲストが制御する SS:SP 起点のオフセットを境界チェックなしに 1MB の RealModeMemory バッファのインデックスとして使用します。SS=0xFFFF および ESP=0xFFFF の場合、計算されたオフセットが 0x10FFEF に達し、RealModeMemory バッファを 65,519 バイト超過します。これにより、IRET フレームのプッシュがバッファの末端を越えてハイパーバイザのヒープに書き込む可能性があります。この製品は割り当て時点で既にサポートが終了しています。

bac-scanresult メソッドは、ユーザーが制御する入力の検証が不十分であるため、ユーザー権限を持つリモート攻撃者が任意のローカルファイルを削除できる可能性があります。

ugw-delete-file メソッドには、ユーザー権限を持つリモート攻撃者がユーザー制御入力の検証不足を悪用して任意のローカルファイルを削除できる脆弱性があります。

ugw-logstopメソッドは、ユーザー権限を持つリモート攻撃者がユーザー制御入力を十分に検証しないために、任意のローカルファイルを削除できる問題を引き起こします。

ugw-restoreメソッドは、ユーザー権限を持つリモート攻撃者がユーザー制御入力の検証が不十分であることを利用して、任意のローカルファイルを削除できる脆弱性です。

ugw-restoreinfoメソッドは、ユーザーが制御する入力の検証が不十分であるため、ユーザー権限を持つリモート攻撃者が任意のローカルファイルを削除できる脆弱性があります。

ugw-logstop メソッドは、ユーザーが提供した入力の検証が不十分であるため、ユーザー権限を持つリモート攻撃者が任意のプロセスを終了させることが可能です。

ugw-logreadメソッドは、ユーザーから提供された入力の検証が不十分であるため、リモートのユーザー権限を持つ攻撃者が任意のローカルファイルにアクセスできるようになります。

リモートのユーザー権限を持つ攻撃者がスタックバッファオーバーフローを悪用することで、root権限としてシステムに完全にアクセスすることができます。

リモートの攻撃者がユーザー権限を持ってdali-devconfigのスタックバッファオーバーフローを悪用し、root権限でシステム全体にアクセスできるようになります。

リモートの攻撃者がユーザー権限を持っている場合、gdv-serverconfigにおけるスタックバッファオーバーフローの脆弱性を悪用して、root権限でシステム全体にアクセスできます。

gnutls に脆弱性が発見されました。リモート攻撃者は Datagram Transport Layer Security (DTLS) パケットの並べ替えロジックの問題を悪用する可能性があります。DTLS パケットをシーケンス番号で並べ替える役割を担う比較関数が、重複したシーケンス番号を持つパケットを正しく処理できませんでした。この問題により、不安定なパケットの順序付けや未定義の動作が発生し、それがサービス拒否（DoS）を引き起こす可能性があります。

Thermalright TR-VISION HOME（64ビット版Windows）におけるDLL検索順序ハイジャックの脆弱性により、ローカル攻撃者がDLLのサイドローディングを介して権限を昇格させることが可能です。アプリケーションは、一部の動的リンクライブラリ（DLL）依存関係を、権限のないユーザーが書き込み可能なディレクトリを含む既定のWindows検索順序を使用して読み込みます。権限のないユーザーがこれらのディレクトリを変更できるため、攻撃者は正当な依存DLLと同じ名前の悪意のあるDLLを信頼されたシステムの場所より先に検索されるディレクトリに配置できます。アプリケーションは常に管理者権限で実行されるため、正当なライブラリの代わりに悪意のあるDLLを読み込みます。アプリケーションはDLLの読み込み場所に制限を設けておらず、読み込んだライブラリの整合性やデジタル署名を検証しません。その結果、攻撃者が制御するコードがアプリケーションのセキュリティコンテキスト内で実行され、権限昇格した状態で任意のコード実行が可能になります。攻撃の成功には、攻撃者がアプリケーションのDLL検索パスに含まれるユーザー書き込み可能なディレクトリに細工した悪意のあるDLLを置き、影響を受けるアプリケーションを実行させる必要があります。読み込まれた悪意のあるDLLはアプリケーションと同じ権限で実行されます。この問題はTR-VISION HOMEのバージョン2.0.5まで（含む）に影響を及ぼします。

Local Path Provisionerは、Kubernetesユーザーが各ノードのローカルストレージを利用できる仕組みを提供します。0.0.36以前のバージョンでは、local-path-storage名前空間内のlocal-path-config ConfigMapを編集する権限を持つ悪意のあるユーザーが、rancher/local-path-provisionerで使用されるhelperPod.yamlテンプレートを操作できます。このhelperPod.yamlテンプレートはプロビジョナーによって読み込まれ、PVCプロビジョニングおよびクリーンアップ操作中にHelperPodを作成するために使用されます。しかし、このテンプレートは使用前に十分に検証されていません。securityContext.privileged、hostPathボリューム、およびLinuxの権限などのセキュリティに敏感なフィールドをテンプレートに注入することが可能です。PVC操作がHelperPodの作成を引き起こすと、プロビジョナーは攻撃者が制御するテンプレートを使用してHelperPodを作成します。これにより、ターゲットノード上でホストのルートファイルシステムがマウントされた特権ポッドが実行される可能性があります。これにより、攻撃者はホスト上の機密ファイルにアクセスしたり、同じノード上の他のポッドのServiceAccountトークンを読み取ったり、他のテナントのローカルパスボリュームデータにアクセスしたり、ホストノードのファイルを変更したりすることが可能になります。この脆弱性は0.0.36で修正されています。

OpenShift ルーターに欠陥が見つかりました。Route の `insecureEdgeTerminationPolicy` が Allow に設定されている場合、HTTP フロントエンドは受信したリクエストから `X-SSL-Client-*` ヘッダーを削除しません。これにより、認証されていない攻撃者が細工された `X-SSL-Client-*` ヘッダーを含むプレーンな HTTP リクエストを送信できるようになります。その結果、相互 TLS (Transport Layer Security) 認証のためにこれらのヘッダーに依存しているバックエンドが回避され、攻撃者がクライアント証明書の身元をなりすますことが可能になります。

Etsy::StatsDのPerl向けバージョン1.002002までには、メトリクスのインジェクションを許す脆弱性があります。メトリクス名と値に改行、コロン、パイプがチェックされていません。信頼できないソースから生成されたメトリクスは、追加のstatsdメトリクスを注入する可能性があります。なお、gitリポジトリには、ゲージおよびセットメソッドでも潜在的なメトリクスインジェクションをチェックしない未リリース版が含まれていることに注意が必要です。

Perl用のNet::CIDR::Setのバージョン0.20までには、IPアドレスの検証が行われていませんでした。addメソッドはアドレス解析のために_encodeメソッドを呼び出します。アドレスがネットマスクやネットワーク範囲のように見えない場合、それらは単一のIPアドレスと見なされ、32ビットまたは128ビットのネットマスクとして自身に再度渡されます。引数が正しく形成されたIPアドレスでない場合、これにより無限再帰が発生します。攻撃者はこれを利用してサービス拒否（DoS）攻撃を引き起こすことができます。

Perl用のNet::CIDR::Setバージョン0.20までには、ネットワークマスクの検証が行われていませんでした。ネットワークマスクのマスク部分にアラビア・インディック数字の「1」（U+0661）などのUnicode数字や、無視される非数字が含まれる可能性がありました。これにより、大きなネットワークを受け入れてしまう問題が発生しました。先頭のゼロも受け入れられていましたが、8進数ではなく10進数として扱われていました。これがどのネットワークが許容されるかについて混乱を招く原因となっていました。

PerlのHTML::Entitiesバージョン3.84以前では、_decode_entities関数で解放済みのヒープメモリが読み取られていました。HTML::Entities::_decode_entitiesを支えるXSルーチンは、entity2charハッシュのhv_fetchから返されたエンティティ値SV内のポインタ（repl）をキャッシュしていました。入力SVがそのハッシュ内の値SVと同一であり、かつその値に自身のキーがエンティティ参照として含まれている場合、後のgrow_gap()呼び出しによってSVのPVバッファが再割り当てされ、その結果replが指していた割り当ては解放されました。その後のコピー処理では、解放済みメモリからrepl_lenバイトを読み取ります。この読み取りによって隣接するヒープの内容が宛先SVに漏洩する可能性があります。

関連性の過剰関連エンドポイントにおいて、orderクエリパラメータがユーザー制御の名前付きリクエストパラメータから受け入れられていたというセキュリティ問題が修正されました。これにより認証済みユーザーがサーバー定義の過剰相関値の順序を上書きできていました。基盤となるデータアクセス層で値がどのように処理されるかによっては、データベースクエリの順序操作が可能になり、アプリケーションが安全でないクエリ構築にさらされる可能性がありました。パッチでは、orderをリクエスト制御パラメータのセットから削除し、代わりに許可されたユーザーパラメータを処理した後に順序をサーバー側で発生回数の降順（occurrence desc）に設定しています。影響を受けるコンポーネントはapp/Controller/CorrelationsController.phpのoverCorrelations()メソッドです。セキュリティへの影響として、認証された攻撃者が過剰関連クエリに使用される順序指定句に影響を与える可能性があります。直接的な影響はクエリの操作に限定されるように見えますが、さらに証拠が得られればSQLインジェクションや操作された順序指定式を通じた不正なデータ露出の可能性があると考えられます。

Windows上のGoogle Chromeバージョン149.0.7827.53以前には、コーデックの競合が原因でレンダラープロセスが侵害される問題がありました。この脆弱性を悪用したリモート攻撃者は、細工されたHTMLページを使用してサンドボックスから脱出する可能性がありました。

Windows版Google Chromeのバージョン149.0.7827.53以前において、UIが不適切に実装されていたため、ローカルの攻撃者が悪意のあるファイルを用いて権限を昇格させることが可能でした。

iOS版Google Chromeの149.0.7827.53より前のバージョンには、オートフィル機能にUse after freeの脆弱性が存在しました。この脆弱性により、リモートの攻撃者が特定のUIジェスチャーをユーザーに実行させるよう仕向け、細工されたHTMLページを介してヒープ破損を悪用する可能性がありました。

iOS用Google Chromeのバージョン149.0.7827.53より前のChrome for iOSで発生するUse after freeの脆弱性により、リモートの攻撃者が細工されたHTMLページを介してヒープ破損を悪用できる可能性がありました。

Android向けGoogle Chromeの149.0.7827.53以前のCoreにおけるUse after freeの脆弱性により、レンダラープロセスが侵害される可能性がありました。リモートの攻撃者は、細工されたHTMLページを介してサンドボックスから脱出することができます。

Google ChromeのWindows版、バージョン149.0.7827.53より前のANGLEにおける型の混同により、リモート攻撃者が細工されたHTMLページを通じて境界外のメモリアクセスを実行できる可能性がありました。