脆弱性情報（JVN）検索・一覧

Linuxカーネルにおいて、net/mlx5eのTXエラーCQE発生時にDMA FIFOのプロデューサーとコンシューマーの同期ずれが起きる問題が修正されました。具体的には、復旧関数mlx5e_reset_txqsq_cc_pc()がdma_fifo_ccのみを0にリセットし、dma_fifo_pcをリセットしなかったため、復旧後に古いdma_fifo_pcの位置に新しいDMAエントリーがプッシュされ、コンシューマーが不正な古いDMAアドレスをアンマップしていました。DMA FIFOはソフトウェア構造で、リセット時点ですべてのWQEがフラッシュされているため、dma_fifo_ccとdma_fifo_pcは等しい状態にあり、どちらのカウンターもリセットする必要はありません。この修正によりdma_fifo_ccのリセットが削除され、以下のような警告が解消されます：WARNING: CPU: 0 PID: 0 at drivers/iommu/dma-iommu.c:1240 iommu_dma_unmap_page+0x79/0x90。

Linuxカーネルのxprtrdmaサブシステムにおいて、rpcrdma_post_recvs()関数がワークリクエストの作成に失敗した場合やその他の早期終了時に、ep-re_receivingを減少させる必要がありました。これが正しく行われないと、rpcrdma_xprt_drain()でre_receivingがゼロにならず、完了処理がトリガーされずにハング状態が発生しました。この問題はメモリプレッシャーの高いシステムでタスクがハングアップする形で現れます。本件はこの不具合を修正したものです。

Rsync バージョン 3.4.2 およびそれ以前には、圧縮トークンデコーダに整数オーバーフローの脆弱性が存在します。この脆弱性は、32ビット符号付きカウンタがオーバーフローのチェックを行わないために発生し、悪意のある送信者がオーバーフローを引き起こして、受信プロセスが意図されたバッファ境界外のデータを読み取ってしまう可能性があります。攻撃者はこの脆弱性を利用して、環境変数、パスワード、ヒープおよびスタックデータ、ライブラリのメモリポインタを含むプロセスメモリの内容を漏洩させることができ、これによりASLRの効果が著しく低下し、さらなる攻撃を容易にする恐れがあります。

Hugoは静的サイトジェネレーターです。バージョン0.43から0.161.0未満の間、Nodeベースのアセットパイプライン（PostCSS、Babel、TailwindCSS）を使用するHugoサイトをビルドする際に、Hugoはファイルシステムアクセスの制限なしに設定されたNodeツールを呼び出していました。その結果、信頼できないサイトに対してhugoを実行すると、これらのツールを介して実行されるコードがプロジェクトの作業ディレクトリ外のファイルを読み書きできる可能性がありました。PostCSS、Babel、TailwindCSSを使用していないユーザーや信頼できるサイトのみをビルドするユーザーは影響を受けません。この脆弱性はバージョン0.161.0で修正されました。

setcred(2)システムコールは特権ユーザーのみが利用可能です。しかし、呼び出し元の特権レベルがチェックされる前に、ユーザーが提供した補助グループのリストが、その長さを検証せずに固定サイズのカーネルスタックバッファにコピーされます。もし提供されたリストがそのバッファの容量を超えると、スタックバッファオーバーフローが発生します。補助グループリストの境界チェックはカーネルスタックバッファに既に書き込まれた後に行われるため、特別な権限を持たないローカルの非特権ユーザーでもオーバーフローを引き起こす可能性があります。成功した悪用により、攻撃者はカーネルのコンテキストで任意のコードを実行できるようになり、影響を受けるシステム上で非特権のローカルユーザーが特権を昇格させることが可能となります。

スレッドがpoll(2)またはselect(2)呼び出しでファイル記述子を待機している間に、そのファイル記述子が閉じられる可能性があります。ブロック中のスレッドは基になるオブジェクトへの参照を保持していないため、この閉鎖によりスレッドがブロックされたままオブジェクトが解放される事態が発生します。この状況下では、カーネルはオブジェクトを解放する前にブロックされたスレッドをオブジェクト毎の待機キューから削除する必要があります。特定のファイル記述子タイプにおいて、カーネルはオブジェクト解放前にブロックされたスレッドをオブジェクトからリンク解除できていませんでした。そのため、ブロックされたスレッドがその後に起床すると、既に解放されたメモリにアクセスし、use-after-freeの脆弱性を引き起こします。このuse-after-free脆弱性は特権のないローカルユーザーによってトリガーされ、スーパーユーザー権限を取得するために悪用される可能性があります。

ptrace(PT_SC_REMOTE)はsyscall(2)および__syscall(2)メタシステムコールのパラメータを適切に検証できませんでした。その結果、プロセスをデバッグする権限を持つユーザーは、対象プロセスに特別な権限がなくてもカーネル内で任意のコードを実行できる可能性があります。検証不足により、権限のないローカルユーザーが権限を昇格させ、影響を受けるシステムを完全に制御できる可能性があります。

bsdinstall または bsdconfig が近くの Wi-Fi ネットワークのスキャンを促すと、ネットワーク名のリストを作成し、bsddialog(1) を使用してユーザーにネットワークの選択を促します。これはシェルスクリプトで実装されており、ネットワーク名を扱うコードがシェルによる展開を防ぐための処理を十分に行っていませんでした。その結果、巧妙に作成されたネットワーク名を使ってサブシェル経由でコマンドを実行される可能性があります。この問題により、bsdinstall または bsdconfig を実行しているシステム上で root 権限でコードが実行される恐れがあります。攻撃者は特別に作成された名前のアクセスポイントを設置し、Wi-Fi スキャンの範囲内にいる必要があります。bsdinstall と bsdconfig はユーザーが近隣のネットワークのスキャンを促した時点で脆弱であり、実際に悪意のあるネットワークを選択する必要はありません。

memcached 1.6.42より前のバージョンには、SASLパスワードデータベース認証のユーザー名データにタイミングサイドチャネルが存在します。これは、有効なユーザー名がsasl_server_userdb_checkpassによって見つかるとループが終了するために発生します。

memcached 1.6.42以前のバージョンにおいて、SASLパスワードデータベース認証のパスワードデータにタイミングサイドチャネルが存在しています。これは、sasl_server_userdb_checkpass関数がmemcmpを使用しているために発生します。

Progress Software MOVEit Automationにおいて、リソースの割り当てが制限やスロットリングなしで行われる脆弱性により、Floodingが発生する可能性があります。この問題は、MOVEit Automationのバージョン2025.0.11より前、および2025.1.0から2025.1.7より前のバージョンに影響を与えます。

Progress Software MOVEit Automationにおける不適切なデフォルト権限の脆弱性により、埋め込まれた機密データが取得される可能性があります。この問題は、MOVEit Automationの2025.0.11より前のバージョンおよび2025.1.0から2025.1.7より前のバージョンに影響を与えます。

Progress Software MOVEit Automationにおけるリソースの制限やスロットリングを伴わない割り当ての脆弱性により、過剰な割り当てが発生する可能性があります。この問題はMOVEit Automationのバージョン2025.0.11より前、および2025.1.0から2025.1.7より前のバージョンに影響します。

Mac版Google Chrome 148.0.7778.168以前のCodecsにおける境界外書き込みの脆弱性により、リモート攻撃者が細工された動画ファイルを介してサンドボックスから脱出を実行する可能性がありました。

Mac版Google Chromeの148.0.7778.168より前のバージョンの拡張機能におけるUse after freeの脆弱性により、悪意のある拡張機能のインストールをユーザーに促した攻撃者が、巧妙に作成されたChrome拡張機能を介して任意のコードを実行できる可能性がありました。

ScadaBRバージョン1.2.0にはCSRF脆弱性が存在し、攻撃者はログイン中のユーザーを悪意のあるウェブページに誘導することで、被害者のセッションを通じて任意の認証済みアクションを実行させる可能性があります。

HP Linux Imaging and Printing Softwareに潜在的なセキュリティ脆弱性が特定されました。この脆弱性により、オペレーティングシステムのコマンドインジェクションを介して、権限を昇格させたり任意のコードを実行したりすることが可能になります。

Android版FirefoxおよびFirefox Focusにはサンドボックス脱出の脆弱性が存在します。この脆弱性はFirefox 151で修正されました。

Linux上のGoogle Chromeの148.0.7778.179より前のバージョンのWebRTCにUse after freeの脆弱性が存在したため、遠隔の攻撃者が細工されたHTMLページを介して任意のコードを実行できる可能性がありました。

Windows上のGoogle Chromeのバージョン148.0.7778.179未満のGPUに存在するUse after freeの脆弱性により、リモート攻撃者が細工されたHTMLページを通じてサンドボックス内で任意のコードを実行できる可能性があります。

Google Chromeの148.0.7778.179以前のバージョンにおけるQUICのUse after free脆弱性により、リモート攻撃者が悪意のあるネットワークトラフィックを介してサンドボックス内で任意のコードを実行できます。

LinuxおよびChromeOSのGoogle ChromeのGFXにおいて、型混同の脆弱性がバージョン148.0.7778.179より前のバージョンに存在しました。この脆弱性により、レンダラープロセスが侵害されたリモート攻撃者が、細工されたビデオファイルを使用してサンドボックスから脱出する可能性があります。

Windows上のGoogle Chrome 148.0.7778.179より前のバージョンにおいて、XRのUse after freeの脆弱性により、リモートの攻撃者が細工されたHTMLページを介して任意のコードを実行する可能性がありました。

Google Chromeの148.0.7778.179以前のバージョンにおいて、WebRTCのヒープバッファオーバーフローの脆弱性により、リモートの攻撃者が細工されたHTMLページを介してサンドボックス内で任意のコードを実行できる可能性がありました。

Google Chromeの148.0.7778.179以前のバージョンに存在するWebRTCのUse after freeの脆弱性により、リモートの攻撃者が細工されたHTMLページを介して任意のコードを実行できる可能性がありました。

148.0.7778.179 より前の Google Chrome の GPU における範囲外読み取りの脆弱性により、リモート攻撃者が細工された HTML ページを介してヒープ破損を悪用できる可能性がありました。

Linuxカーネルにおいて、nvdimm/busの非同期初期化時に発生する解放後使用の脆弱性が修正されました。DingisoulがKASANを用いて発見したもので、nd_async_device_register()内でdevice_add()の失敗時に解放後使用が起こる問題です。親デバイスの参照を非同期初期化が完了するまで保持する処理において、device_add()が失敗すると親ポインタの参照解放が適切に行われず、問題が発生しました。この問題は親参照の管理を修正し、device_add()の結果にかかわらず親参照を適切に解放することで対処されました。

Linuxカーネルにおいて、以下の脆弱性が解決されました。HID: bpfのhid_hw_requestにおけるバッファオーバーフローを防止しました。現在、返される値は常に有効であるとみなされています。しかし、HID-BPFを操作する際に、返される値が任意に大きくなる可能性があります。これはdispatch_hid_bpf_raw_requests()の返り値であり、この関数はstruct_opsを呼び出しますが、その値が妥当であることは保証されていません。

Linuxカーネルにおいて、以下の脆弱性が修正されました。NFSDの/proc/fs/nfs/exportsのファイルディスクリプタのライフタイム中にネットワークリファレンスを保持します。/proc/fs/nfs/exportsのprocエントリはモジュール初期化時に作成され、モジュールのライフタイム中持続します。exports_proc_open()は呼び出し元の現在のネットワーク名前空間をキャプチャし、そのsvc_export_cacheをseq-privateに格納しますが、名前空間への参照を保持しません。名前空間が後に破棄されると（例：オープナーがsetns()で別の名前空間に切り替えた後のコンテナ破棄）、nfsd_net_exit()はnfsd_export_shutdown()を呼び出してキャッシュを解放します。まだ開いたままのファイルディスクリプタでの後続の読み取りは、解放されたcache_detailを逆参照し、解放済みのハッシュテーブルを歩くことになります。開いているファイルディスクリプタのライフタイム中、struct netの参照を保持します。これによりnfsd_net_exit()の実行が防がれ、結果としてnfsd_export_shutdown()によるキャッシュの解放も防止されます。cache_detailはすでにそのnetポインタ（cd-net、cache_create_net()によって設定）を保持しているため、exports_release()は追加のファイル毎のストレージなしでそれを取得できます。

Linuxカーネルにおいて、NFSDのエクスポートのputコールバックでのサブオブジェクトのクリーンアップ処理が不適切で、NULLポインタ参照が発生する可能性がある脆弱性が修正されました。具体的には、svc_export_put()関数が最後の参照解放時にRCU猶予期間を考慮せずにpath_put()とauth_domain_put()を即時に呼び出していたため、RCUリーダーが保持している参照が無効となり、使用中のサブオブジェクトが解放されてしまう問題がありました。この問題を解決するために、遅延コールバックの仕組みを用いてサブオブジェクトの解放処理をRCU猶予期間後のスリープ可能なコンテキストで行うように変更しました。さらに、専用のワークキューを用いてシャットダウン時の処理の停滞を防ぐ対策も施しました。これにより、NULLポインタ参照による不具合を防止します。

Linuxカーネルにおいて、以下の脆弱性が修正されました。xfrm: xfrm_nat_keepalive_net_fini()内のキャンセル後の作業再スケジュールの問題です。cancel_delayed_work_sync()がxfrm_nat_keepalive_net_fini()から呼び出された後、xfrm_state_fini()が__xfrm_state_delete()を通じて残っている状態をフラッシュし、これによりxfrm_nat_keepalive_state_updated()が呼び出され、nat_keepalive_workが再スケジュールされます。以下は簡単な競合状態のシナリオです。cpu0はcleanup_net()（ラウンド1）、ops_undo_list()、xfrm_net_exit()、xfrm_nat_keepalive_net_fini()、cancel_delayed_work_sync(nat_keepalive_work)、xfrm_state_fini()、xfrm_state_flush()、xfrm_state_delete(x)、__xfrm_state_delete(x)、xfrm_nat_keepalive_state_updated(x)、schedule_delayed_work(nat_keepalive_work)、rcu_barrier()、net_complete_free()、net_passive_dec(net)、llist_add(&net-defer_free_list, &defer_free_list)を処理します。cpu1はcleanup_net()（ラウンド2）、rcu_barrier()、net_complete_free()、kmem_cache_free(net_cachep, net)、nat_keepalive_work()を処理します。このシナリオでは解放済みのnet上でnat_keepalive_work()が発生する可能性があります。これを防ぐために、cancel_delayed_work_sync()はdisable_delayed_work_sync()に置き換えられました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。netfilterのconntrackに関して、欠落していたnetlinkポリシー検証を追加しました。Hyunwoo Kim氏はsctpおよびctnetlinkにおける境界外アクセスを報告しました。これらの属性はカーネルによって検証なしに使用されていました。そこで、netlinkポリシーを適切に拡張しました。レポーターの引用によると、nlattr_to_sctp()関数はユーザー提供のCTA_PROTOINFO_SCTP_STATE値を、範囲内かどうかを確認せずに直接ct-proto.sctp.stateに割り当てています。さらに、exp-dirが100の場合、ct-master-tuplehash[100]へのアクセスは320バイトのnf_connオブジェクトの開始から5600バイトも先を読み取り、UBSANによって確定されたスラブの境界外読み取りが発生します。

Linuxカーネルにおいて、以下の脆弱性が修正されました。BluetoothのSCOに関する問題で、sco_recv_frame()関数におけるsock_holdの欠如によるuse-after-freeの脆弱性です。sco_recv_frame()はsco_conn_lock()のロック下でconn-skを読み取りますが、ソケットの参照を保持せずに直ちにロックを解放します。その間に並行処理でclose()がソケットを解放する可能性があり、ロック解放後にsk-sk_stateへアクセスするとuse-after-freeが発生します。同じファイル内の他の関数（sco_sock_timeout()、sco_conn_del()）は、ロック下で安全に参照を保持するために適切にsco_sock_hold()を使用しています。この修正では、ロックを解放する前に参照を取得するためにsco_sock_hold()を使用し、すべての終了パスでsock_put()を呼び出すようにしました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。ksmbdにおいて、失敗したバインディング要求時にconn-bindingが未設定のままになる問題がありました。マルチチャネルのSMB2_SESSION_SETUP要求でSMB2_SESSION_REQ_FLAG_BINDINGが失敗した場合、ksmbdはconn-bindingをtrueに設定しますが、エラー経路でこれをクリアしませんでした。このため、接続がバインディング状態のままとなり、その後のすべてのksmbd_session_lookup_all()呼び出しがグローバルセッションテーブルにフォールバックしてしまっていました。この問題はエラー経路でconn-bindingをfalseにクリアすることで修正されました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。bpf: BPF_OR用のmaybe_fork_scalars()における不適切なスカラー分岐を修正しました。maybe_fork_scalars()はソースオペランドが定数の場合にBPF_ANDおよびBPF_ORの両方で呼び出されます。dstの符号付き範囲が[-1, 0]の場合、検証状態を分岐させます。分岐先のパスはdst=0、現在のパスはdst=-1となります。BPF_ANDの場合、これは正しく（0 & K == 0）ですが、BPF_ORの場合は誤っています（0 | K == Kであり0ではありません）。したがって分岐先のパスは実行時の値がKであるにもかかわらずdstを0として追跡し、検証器と実行時の不整合を生み、境界外のマップアクセスを可能にする悪用可能な状態を作り出していました。この問題は、push_stack()にenv-insn_idx（env-insn_idx + 1ではなく）を渡すことで修正されており、分岐先のパスがdst=0でALU命令を再実行し、任意のオペコードに対して自然に正しい結果を計算するようになりました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。net/x25におけるパケット蓄積時のオーバーフローを修正し、x25_sock.fraglenがオーバーフローしないようにチェックを追加しました。また、fragment_queueをクリアするx25_clear_queues()内でfraglenをリセットする必要があります。

Linuxカーネルには、bond_xmit_broadcast()関数におけるuse-after-freeの脆弱性が存在していました。この関数は、最後のスレーブに対して元のskbを再利用し、それ以外にはクローンを作成しますが、スレーブの追加・削除が同時に発生すると、最後のスレーブが変わり、結果的にskbが二重に解放される可能性がありました。この問題は、bond_is_last_slave()のチェックをループ前に取得したスナップショットのスレーブ数と比較する方式に変更することで修正されました。この修正により、UAFによるクラッシュやメモリ破壊のリスクが解消されました。

LinuxカーネルにおけるACPI ECドライバには、プローブ失敗時にハンドラのクリーンアップを適切に行わない欠陥が存在していました。この問題により、解放されたハンドラコンテキストが残存し、後続のEC OpRegionアクセスでuse-after-freeが発生する恐れがありました。縮小ハードウェアプラットフォームではGPIO IRQプロバイダのプローブ遅延が発生すると、非特権ユーザーがsysfs経由でダングリングポインタを利用してアクセスできるリスクがありました。修正では、エラー経路においてec_remove_handlers()を呼び出し、ハンドラの状態を適切にクリアすることでこの問題に対応しています。

libheifはHEIFおよびAVIFファイルフォーマットのデコーダおよびエンコーダです。バージョン1.21.2以前にはグリッドタイル合成においてヒープバッファオーバーフロー（書き込み）の脆弱性が存在していました。攻撃者は奇数高さのタイルで構成された1×4グリッドのHEIF/AVIFファイルを作成することで、クロマプレーンのヒープ割り当ての末尾から64バイト分の完全に攻撃者が制御可能なデータを書き込むことが可能です。このオーバーフローはデフォルトビルド構成での通常の画像デコード中にトリガーされます。書き込まれるバイトは攻撃者が送信したタイルのクロマ（Cb/Cr）ピクセル値であり、そのオーバーフローの内容は攻撃者が完全に制御できます。この問題はバージョン1.22.0で修正されました。

Adobe Commerce バージョン 2.4.9-beta1、2.4.8-p4、2.4.7-p9、2.4.6-p14、2.4.5-p16、2.4.4-p17 以前のバージョンには、不適切な認可の脆弱性が存在し、これによりセキュリティ機能が回避される可能性があります。攻撃者はこの脆弱性を悪用して、セキュリティ対策を回避し、不正な書き込みアクセスを取得できます。この問題を悪用するためにユーザーの操作は不要です。