脆弱性情報（JVN）検索・一覧

GitLabは、13.9から18.10.8以前、18.11から18.11.5以前、および19.0から19.0.2以前のすべてのバージョンに影響を与えるGitLab EEの問題を修正しました。この問題は、特定の条件下で認証済みのユーザーがSecurity Managerロールの権限を持っている場合に発生しました。その状況では、関連機能が無効化されている状態でも誤った認可制御によりプロジェクトのセキュリティ設定を管理できてしまう可能性がありました。

GitLabはGitLab CE/EEのバージョン18.10の18.10.8未満、18.11の18.11.5未満、および19.0の19.0.2未満のすべてのバージョンに影響する問題を修正しました。この問題は特定の条件下で、認証されたユーザーがリポジトリインポート時にGitalyサーバーから任意のファイルを読み取ったり、内部ネットワークリソースにアクセスしたりできるものでした。原因はセカンダリURLの不十分な検証にありました。

GitLabは、GitLab CE/EEの全バージョン（15.9から18.10.8の前、18.11から18.11.5の前、及び19.0から19.0.2の前）に影響する問題を修正しました。この問題は特定の条件下で、認証されていないユーザーがGitLabサポートボットを偽装し、不適切なメールテンプレート処理の中和不備を悪用して、特別に細工されたService Deskのメール返信を通じて任意のコンテンツを注入できるものでした。

Microsoft Officeにおける境界外読み取りの脆弱性により、未承認の攻撃者がローカルで情報を開示できる可能性があります。

Erlang/OTPのftp（ftp_internalモジュール）におけるサーバーサイドリクエストフォージェリ（SSRF）脆弱性によって、検証されていないPASV応答のIPアドレスを介してFTPバウンス攻撃およびSSRFを実行可能です。ftp_internal:handle_ctrl_result/2のPASVハンドラ（mode=passive、ipfamily=inet、ftp_extension=false）は、サーバーの227応答からIPアドレスを抽出し、コントロール接続のピアアドレスと照合せずに直接gen_tcp:connect/4に渡します。隣接するEPSVハンドラは正しくpeername(CSock)を呼び出してコントロール接続からIPを取得しますが、PASVハンドラはこれを行いません。悪意のあるまたは侵害されたFTPサーバーは、クライアントのデータ接続を任意の内部ホストおよびポートにリダイレクト可能です。読み取り操作（ftp:ls/1,2、ftp:nlist/1,2、ftp:recv/2,3）では、リダイレクトされたターゲットからのデータが呼び出し元に返されます。書き込み操作（ftp:send/2,3、ftp:append/2,3）では、ファイル内容がリダイレクトされたターゲットに送信されます。これにより、内部ホストやクラウドメタデータエンドポイントに対するSSRFや第三者ホストへのFTPバウンス攻撃を実行可能です。脆弱な経路はデフォルト設定（mode=passive、ipfamily=inet、ftp_extension=false）に該当します。RFC 2577セクション3ではPASV応答IPをコントロール接続のピアに対して検証することが明示的に推奨されています。ftpアプリケーションは非推奨となっており、OTP-30で削除予定です。この脆弱性はlib/inets/src/ftp/ftp_internal.erl（inets 5.10.4-6.5、OTP 17.4から20.3）、およびlib/ftp/src/ftp_internal.erl（ftp 1.0以降、OTP 21.0以降）に関連しています。この問題はOTP 17.4から29.0.2、28.5.0.2および27.3.4.13のinets 5.10.4から7.0未満、ならびにftp 1.0から1.2.6、1.2.4.1および1.2.3.1未満に影響を及ぼします。

Ghidraのバージョン11.2以前には、SleighArchitecture::translatorsおよびXmlArchitectureCapabilityのシングルトンの静的初期化順序が未定義であることが原因で、Sleighバックエンドにuse after freeの脆弱性が含まれていました。攻撃者は不正な破棄順序を悪用して解放されたメモリを反復処理させ、シャットダウン時に無限ループまたはサービス拒否を引き起こす可能性があります。

Fortinet FortiOS 7.6.0から7.6.2、FortiOS 7.4.0から7.4.7、FortiOS 7.2.0から7.2.10、FortiOS 7.0.0から7.0.16、FortiOS 6.4の全バージョン、FortiProxy 7.6.0から7.6.3、FortiProxy 7.4.0から7.4.10、FortiProxy 7.2.0から7.2.14、およびFortiProxy 7.0の全バージョンにおいて、認証済み管理者が細工されたCLIコマンドを介してLuaスクリプトを実行できる可能性があり、内部資産が安全でないデバッグアクセスレベルまたは状態に晒される脆弱性が存在します（CWE-1244）。

NVIDIAのWindowsおよびLinux用ディスプレイドライバには、カーネルドライバに脆弱性があり、ユーザーが重要なリソースに対して不適切な権限割り当てを引き起こす可能性があります。この脆弱性が悪用されると、データの改ざんやサービス拒否（DoS）を引き起こす恐れがあります。

Microsoft Office SharePointにおけるウェブページ生成時の入力が不適切に無害化される（クロスサイトスクリプティング）。これにより、認可された攻撃者がネットワーク上でなりすましを行うことが可能になります。

NVIDIAのWindowsおよびLinux用ディスプレイドライバーには、攻撃者が保持しているドライバーロックを漏洩させる可能性がある脆弱性があります。この脆弱性を悪用されると、サービス拒否（DoS）攻撃を引き起こす可能性があります。

NVIDIAのLinux用ディスプレイドライバのUVMに脆弱性があり、ユーザーが不適切な入力を検証できない可能性があります。この脆弱性を悪用すると、サービス拒否（DoS）攻撃が発生する可能性があります。

NVIDIAのLinux用ディスプレイドライバには、マルチインスタンスGPU（MIG）のパーティション管理に脆弱性があります。この脆弱性は、メモリサブシステムのルーティングリソースが不安全なデフォルトで初期化されるため、パーティション再構成時にデータ破損やハングが発生する可能性があります。この脆弱性を悪用されると、サービス拒否（DoS）攻撃につながる恐れがあります。

Apache Answerにおける危険なタイプのファイルの無制限アップロードの脆弱性について説明します。この問題はApache Answerのバージョン2.0.0までに影響があります。サーバーはユーザーが提供した画像URLを十分に検証しておらず、任意の外部コンテンツをプロフィール画像として埋め込むことが可能です。これにより、ユーザーが意図しない外部へのリクエストが発生し、第三者サーバーによる追跡を受ける可能性があります。ユーザーにはこの問題を修正したバージョン2.0.1へのアップグレードを推奨します。

InDesign Desktopのバージョン21.3、20.5.3およびそれ以前のバージョンには、NULLポインタ参照の脆弱性が存在し、これによりアプリケーションのサービス拒否（DoS）が発生する可能性があります。攻撃者はこの脆弱性を悪用してアプリケーションをクラッシュさせ、サービス拒否状態を引き起こすことができます。この問題を悪用するにはユーザーの操作が必要であり、被害者が悪意のあるファイルを開く必要があります。

InDesign Desktop バージョン 21.3 および 20.5.3 以前のバージョンは、ヌルポインタ参照の脆弱性の影響を受けており、この脆弱性によりアプリケーションがサービス拒否状態になる可能性があります。攻撃者はこの脆弱性を悪用してアプリケーションをクラッシュさせ、サービス拒否を引き起こすことが可能です。この問題を悪用するには、被害者が悪意のあるファイルを開く操作が必要です。

InDesign Desktop バージョン 21.3、20.5.3 以前のバージョンは、境界外読み取りの脆弱性の影響を受けており、これにより機密メモリが漏洩する可能性があります。攻撃者はこの脆弱性を悪用して機密情報を漏洩させる可能性があります。この問題を悪用するためには、被害者が悪意のあるファイルを開く操作をする必要があります。

Apache Answerにおける未承認のアクターへの機密情報漏洩の脆弱性です。この問題はApache Answerのバージョン2.0.0以前に影響します。未掲載の質問機能が直接のAPIエンドポイントに対してアクセス制限を適用しておらず、認証済みユーザーが未掲載の質問、その回答、コメント、および改訂履歴を発見しアクセスできる状態でした。ユーザーは本脆弱性を修正したバージョン2.0.1にアップグレードすることを推奨します。

Windows Hyper-Vにおいて機密情報が権限のない者に露出する問題があり、これにより権限を持つ攻撃者がローカルで情報を開示できます。

Windowsプッシュ通知における未初期化リソースの使用により、認可された攻撃者がローカルで情報を開示する可能性があります。

Microsoft Office SharePointにおけるウェブページ生成時の入力が不適切に無害化される（クロスサイトスクリプティング）ため、認証された攻撃者がネットワーク上でなりすましを行うことが可能です。

Microsoft Office SharePointにおけるウェブページ生成時の入力の不適切な中和（クロスサイトスクリプティング）が原因で、認証された攻撃者がネットワーク上でなりすましを行うことが可能になります。

Microsoft Office SharePointにおけるウェブページ生成中の入力の不適切な無害化（クロスサイトスクリプティング）が原因で、認証された攻撃者がネットワーク上でなりすましを行うことが可能になります。

Microsoft Office SharePointにおけるウェブページ生成時の入力の不適切な無害化（クロスサイトスクリプティング）により、認可された攻撃者がネットワーク上でなりすましを行うことが可能となります。

Microsoft Office SharePoint のウェブページ生成時における入力の不適切な無害化（クロスサイトスクリプティング）により、認可された攻撃者がネットワーク上でなりすましを行うことが可能です。

Windows BitLockerの保護メカニズムに障害が発生し、不正な攻撃者が物理的な攻撃を用いてセキュリティ機能を回避できる可能性があります。

OpenXDMoDはHPCメトリクスの収集と分析のためのオープンフレームワークです。バージョン11.0.3以前では、OpenXDMoDのアクセス制御ロジックに欠陥があり、攻撃者が認可判断に使用されるセッション変数を設定する悪意のあるHTTPS POSTリクエストを送信できる可能性がありました。OpenXDMoDの導入にオプションのジョブパフォーマンス（SUPReMM）モジュールが含まれている場合、攻撃者は意図されたデータアクセス制限を回避して他のユーザーの計算ジョブ効率指標を閲覧できる恐れがあります。バージョン11.0.3以前の全てのOpenXDMoD導入で、オプションのジョブパフォーマンス（SUPReMM）モジュールが含まれているものが影響を受けました。この問題は2026年4月6日に非公開で報告され、現時点では本脆弱性が実際に悪用された証拠はありません。この脆弱性は2026年5月12日にOpenXDMoD 11.0.3で修正されました。回避策としては、パッチを手動で適用してください。

OpenXDMoDはHPCメトリクスの収集および分析のためのオープンフレームワークです。バージョン11.0.3より前のバージョンでは、認証された攻撃者がOpenXDMoDユーザープロファイルに悪意のあるJavaScriptを注入し、パスワードリセット機能を悪用してHTMLページへのリンクをメールで送信できます。このリンクを被害者が訪問すると、被害者のブラウザでサニタイズされていないペイロードが反映・実行されるため、資格情報を窃取したりOpenXDMoDアカウントを乗っ取られたりする可能性があります。バージョン11.0.3より前のすべてのOpenXDMoDの展開に影響があります。この問題は2026年4月6日に非公開で報告されており、現時点では野外での悪用の証拠はありません。脆弱性は2026年5月12日にOpenXDMoD 11.0.3で修正されました。回避策としてはパッチを手動で適用してください。

Linuxカーネルにおいて、以下の脆弱性が修正されました。RDMA/manaに関するmana_ib_create_qp_rss()のエラーアンワインドの問題が改善されました。Sashikoはmana_ib_cfg_vport_steering()がリソースリークを引き起こしていることを指摘しており、通常の破棄パスでそれを適切にクリーンアップします。

Linuxカーネルにおいて、次の脆弱性が修正されました：ALSAのusb-audioで、convert_chmap_v3()関数に潜在的な無限ループが発生する問題を回避しました。convert_chmap_v3()のループはcs_desc-wLengthの増分サイズで実行されますが、cs_desc-wLength自体の検証が欠如していました。そのため、不正なディスクリプタにより潜在的な無限ループが発生する可能性がありました。この問題を修正するために、ループを中断するための適切なサイズチェックを追加しました。

Linuxカーネルにおいて、KVMのarm64アーキテクチャに関する__pkvm_init_vcpu()関数に存在したピンリークと公開順序の脆弱性が修正されました。vCPUの初期化処理で、メモリのピン参照が適切に解放されなかった問題や、初期化途中のvCPUオブジェクトが公開されてしまう問題がありました。これらの問題はクリーンアップ処理の修正およびsmp_store_release()とsmp_load_acquire()の使用によって対策されました。これにより、メモリリークと不完全なvCPUオブジェクトの参照の発生が防止されます。

Linuxカーネルにおいて、以下の脆弱性が修正されました。spi: microchip-core-qspiに関するチップセレクトの手動制御の問題です。coreQSPI IPは単一のチップセレクトのみをサポートしており、ハードウェアによって自動的に制御されています。送信バッファに最初の書き込みが行われるとチップセレクトは低レベルにセットされ、FRAMESレジスタのTOTALBYTESフィールドに書き込まれたバイト数がバス上で送信されると高レベルに戻ります。追加のデバイスはチップセレクトにGPIOを使用する必要があります。2つのデバイスがこのQSPIコントローラに接続されている場合、組み込みのチップセレクトがLinuxがGPIOに接続されたデバイスにアクセスしようとした際に低レベルにセットされることが報告されました。この問題は、SPIコントローラに複数のデバイスを接続するボードがすべてGPIOを使ってチップセレクトを制御しており、組み込みのチップセレクトが全く使用されていなかったため、検出されませんでした。組み込みのチップセレクトは自動制御され、アクティブ時は低レベル、非アクティブ時は高レベルとなるため、アクティブハイのデバイスやチップセレクト無効時に送信が必要なデバイスには使用できませんでした。ドライバを修正し、exec_opコールバックでのmem_opsに対しては転送全体にわたりチップセレクトをアクティブに保つ動作を維持しつつ、通常の転送にはcoreが使用できるset_csコールバックを実装し、チップセレクトを直接制御するようにしました。この修正の一環として、mchp_coreqspi_setup_op()の既存セットアップコールバックは削除されました。複数デバイスが存在する際に操作中にCLKIDLEフィールドを変更するのは安全ではないため、このコードは完全に削除されました。MASTERおよびENABLEフィールドの設定はプローブ時に一度行えばよく、各デバイスごとに再実行する必要はありません。新セットアップコールバックはソフトウェア制御モードにおけるチップセレクトのリセット値が低レベルであるため、アクティブローのデバイスに対して組み込みチップセレクトを非アクティブ状態に設定します。

Linuxカーネルにおいて、次の脆弱性が修正されました。openvswitchのvportで、トンネルポートの解放時に発生する自己デッドロックの問題を修正しました。vportは並行して使用され、RCUで保護されているため、netdev_put()はRCUの猶予期間後に実行する必要があります。つまり、RCU呼び出し内かsynchronize_net()の後で実行しなければなりません。rtnl_delete_link()はRTNLの下で実行される必要があり、RCUコンテキストで実行してはいけません。RTNLを保持したままsynchronize_net()を呼び出すのはパフォーマンスやシステムの安定性の観点から好ましくないため、netdev_put()をRCU呼び出し内で実行するのが正しい解決策です。しかし、デバイスが削除されるとrtnl_unlock()がnetdev_run_todo()を呼び出し、すべての参照がなくなるまで処理をブロックします。現在のコードではcall_rcu()に到達せず、そのためvportが解放されず、参照も解放されないため、デバイス削除時に自己デッドロックが発生していました。これを修正するために、rcu_call()をrtnl_unlock()の前に移動し、RTNL自体はすでに解放された状態でrtnl_unlock()-netdev_run_todo()からsynchronize_net()が呼び出される際にスケジュールされたRCUコールバックが実行されるようにしました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。usb: usblp: LPGETSTATUS ioctlを介した初期化されていないヒープリークの問題です。このドライバの以前の問題と同様に、usblp_ctrl_msg()はusb_control_msg()の戻り値である実際に転送されたバイト数を破棄し、0またはエラーコード(-errno)に折り畳みます。本来はその短いコマンドを検出してエラーを返すべきですが、多くのプリンタが「不正な」応答を返すため、それはできません。statusbufはプローブ時にkmalloc(8)で割り当てられ、最初のLPGETSTATUS ioctlの前に一度も初期化されていません。usblp_read_status()は1バイトの要求を行います。悪意のあるプリンタが0バイトで応答した場合、*statusbufはstaleなkmallocヒープの1バイトとなり、それがローカルのint型変数であるstatusに符号拡張され、LPGETSTATUS経路を通じて直接ioctl呼び出し元にcopy_to_user()されます。この問題は、プローブ時にメモリバッファをゼロクリアすることで修正されました。後の呼び出しで短い読み取りが発生しても、デバイスが最後に送信したものと同一であるため、情報の漏洩は発生しません。

Linuxカーネルにおいて、以下の脆弱性が修正されました。mptcpのtimestamp sockoptにおけるアトミックコンテキストでのスケジューリングの問題です。sock_set_timestamp()およびsock_set_timestamping()の周囲でlock_sock_fast()（アトミックコンテキスト）を使用することは安全ではありません。なぜなら、これらのヘルパー関数はスリープする可能性があるためです。アトミックコンテキスト時のスケジューリングによるパニックを回避するために、lock_sock_fast()をスリープ可能なlock_sock()およびrelease_sock()に置き換えました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。ipv6: xfrm6: xfrm6_rcv_encap()内のエラー時にdstを解放しない問題が存在しました。xfrm6_rcv_encap()はskbにdstが未設定の場合にIPv6のルートルックアップを行います。ip6_route_input_lookup()はエラールートに解決されても参照されたdstエントリを返します。dst-errorが設定されている場合、xfrm6_rcv_encap()はdstをskbに設定せず、かつルックアップで取得した参照を解放せずにskbを破棄していました。したがって、この経路を通るパケットが繰り返されるとdstエントリがリークしてしまいます。現在はdstを解放してからdropパスに移行するように修正されています。

Linuxカーネルにおいて、以下の脆弱性が修正されました。xfrm: ah: 非同期コールバック内でのESN高位ビットの考慮に関する問題です。AHはESNが有効な場合、一時的な認証/ICVレイアウトを異なる方法で割り当てています。非同期ahashのセットアップでは、ICVまたはauth_data領域の前に4バイトのseqhiスロットを追加しますが、非同期完了コールバックは依然としてseqhiが存在しないかのように一時的なレイアウトを再構築していました。非同期AH実装が選択されると、IPv4およびIPv6両方のパスでAHは誤ったバイトをコピーまたは比較してしまう問題が発生しました。IPv4 AHでESNかつ強制的に非同期hmac(sha1)が使用されるUML再現環境において、pingは100%パケットロスで失敗し、コールバックログには前置のずれが示されました。コールバック側のレイアウトは、保存されたauth_dataまたはICVを特定する前にESNのseqhiスロットをスキップすることで、セットアップパスで構築されたレイアウトと同様に再構築されていました。RFC 4302に従い、ESNの高位32ビットはAH ICV計算に参加するため、非同期コールバックもseqhiスロットを考慮する必要があります。修正後、同じIPv4 AH+ESN+強制非同期hmac(sha1)のUML再現環境では、修正されたオフセットが示され、pingが成功しました（ah4 output_done: esn=1 err=0 icv_off=24 expected_off=24）。net/ipv4/ah4.oおよびnet/ipv6/ah6.oは-W=1オプションで正常にビルドされます。IPv6 AH+ESNは実行時にテストされておらず、この変更は実際の非同期ハードウェアAHエンジン上での検証がされていません。

Linuxカーネルにおいて、以下の脆弱性が修正されました：f2fsにおけるextentノードの破棄と書き戻し処理間で発生するnode_cntの競合状態の修正です。f2fs_destroy_extent_node()はextentノードをクリアする前にFI_NO_EXTENTを設定していません。I_SYNCが設定された状態でf2fs_drop_inode()から呼び出されると、同時に動作するkworkerの書き戻し処理が同じextentツリーに新しいextentノードを挿入し、破棄処理と競合して__destroy_extent_node()内でf2fs_bug_on()が発生します。シナリオは以下の通りです。drop inodeからwriteback処理へ進み、iputでf2fs_drop_inodeが呼び出され（I_SYNCが設定された状態）、f2fs_destroy_extent_node内で__destroy_extent_nodeが実行されます。その中でnode_cntが存在する間、write_lock(&et-lock)を取得して__free_extent_treeを実行し、write_unlock(&et-lock)でロックを解除します。その後、__writeback_single_inodeおよびf2fs_outplace_write_data、f2fs_update_read_extent_cache、__update_extent_tree_rangeが順に呼ばれます。しかし、FI_NO_EXTENTが未設定のまま新しいextentノードが挿入されるため、node_cntが0になるまでのループが終了し、f2fs_bug_on(node_cnt)がnode_cnt 0となり失敗します。また、__update_extent_tree_range()はEX_READタイプにのみFI_NO_EXTENTをチェックし、EX_BLOCK_AGEの更新は保護されていません。このパッチでは、__destroy_extent_node()内でet-lockの下でFI_NO_EXTENTを設定し、他の呼び出し元（__update_extent_tree_rangeおよび__drop_extent_tree）と一貫性を保ち、EX_READおよびEX_BLOCK_AGEの両方のツリーに対してFI_NO_EXTENTをチェックするようにしています。

Linuxカーネルにおいて、以下の脆弱性が修正されました。tracepoint_add_func()内のfunc_add()失敗時にbalance_regfunc()の動作に問題がありました。トレースポイントが0から1へ遷移する際、tracepoint_add_func()は新しいプローブをfunc_add()経由でインストールしようとする前に、サブシステムのext-regfunc()を呼び出します。もしfunc_add()が失敗した場合（例えば、allocate_probes()がメモリ不足のため新しいプローブ配列を割り当てられず-ENOMEMを返す場合など）、対応するext-unregfunc()を呼び出さずにエラーを返すため、regfunc()の副作用が残り、インストールされたプローブがない状態が発生します。特にシステムコールトレースポイントでは問題が深刻です。syscall_regfunc()はsys_tracepoint_refcountを増加させ、すべてのタスクにSYSCALL_TRACEPOINTを設定します。失敗が生じた場合、参照カウントは0でない値に固定され、消費者がいないにもかかわらず、すべてのタスクがシステムコールのトレースエントリおよびエグジットのオーバーヘッドを継続的に負担し、再起動するまで解消されません。他のregfunc()/unregfunc()ペアを提供するサブシステムも同様に持続的な状態を示します。既存の1から0へのクリーンアップ処理をミラーリングし、func_add()のエラーパスでext-unregfunc()を呼び出すように修正しました。この呼び出しは登録時に使われる条件で制御されているため、登録と解除が対称となります。

Linuxカーネルにおいて、以下の脆弱性が修正されました。spi: mpc52xxコントローラの登録解除の際、ドライバのバインド解除時に割り込みやGPIOなどの基盤となるリソースを無効化および解放する前に、コントローラの登録解除を確実に行うように修正しました。

Linuxカーネルでは、以下の脆弱性が修正されました。HID: appletb-kbdにおいて、ワークキューから非アクティブ自動減光を実行する際に、backlight_device_set_brightness()がアトミックコンテキストからmutex_lock()を呼び出してしまい、スリープ関数の無効な呼び出しが発生しました。この問題に対して、非アクティブタイマーの処理をstruct timer_listからstruct delayed_workに変更し、コールバックをプロセスコンテキストで実行するように改善しました。また、明るさの復元処理についても専用のwork_structを用いてスケジュールし、mutex_lock()の不正な利用を回避しています。ドライバの終了時にはこれらの作業を適切にキャンセルし、動作の意味論を変えずに安全に実装しました。