脆弱性情報（JVN）検索・一覧

Oracle Enterprise ManagerのOracle Enterprise Manager Base Platform製品（コンポーネント：Web Services Framework）における脆弱性について説明します。この脆弱性の影響を受けるサポート対象バージョンは13.5および24.1です。容易に悪用可能な脆弱性のため、低権限の攻撃者がHTTPS経由でネットワークアクセスを行い、Oracle Enterprise Manager Base Platformを侵害する可能性があります。この脆弱性を悪用した攻撃が成功すると、Oracle Enterprise Manager Base Platformでアクセス可能な一部のデータに対して、不正な更新、挿入、削除アクセスや、不正な読み取りアクセスが発生することがあります。CVSS 3.1のベーススコアは5.4（機密性と完全性に影響）。CVSSベクターは次の通りです：(CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N)。

Oracle Enterprise Manager の Oracle Enterprise Manager Base Platform 製品における脆弱性（コンポーネント：UI Framework）について説明します。影響を受けるサポート対象バージョンは 13.5 および 24.1 です。ネットワーク経由の HTTPS で認証なしの攻撃者が容易に悪用でき、Oracle Enterprise Manager Base Platform を破損させる可能性があります。攻撃が成功するためには攻撃者以外の人物による人間の操作が必要であり、この脆弱性は Oracle Enterprise Manager Base Platform に存在しますが、攻撃は追加の製品にも大きな影響を与える可能性があります（スコープ変更）。この脆弱性を悪用されると、一部の Oracle Enterprise Manager Base Platform のアクセス可能なデータに対して未承認の更新、挿入、削除を行うことができ、また一部のデータへの未承認の読み取りアクセスも生じる可能性があります。CVSS 3.1 基本スコアは 6.1（機密性および完全性に影響）です。CVSS ベクター：(CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N) です。

Oracle Enterprise ManagerのOracle Enterprise Manager Base Platform製品（コンポーネント：UI Framework）における脆弱性です。影響を受けるサポート対象バージョンは13.5および24.1となっています。悪用は難しい脆弱性ですが、HTTPS経由のネットワークアクセスを持つ認証されていない攻撃者がOracle Enterprise Manager Base Platformを侵害する可能性があります。この脆弱性を攻撃に成功すると、重要なデータへの不正アクセスが発生し、Oracle Enterprise Manager Base Platformでアクセス可能な全データに対して完全なアクセス権が付与される恐れがあります。CVSS 3.1基本スコアは5.9（機密性への影響）です。CVSSベクターは（CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N）となっています。

NLnet Labs Unbound バージョン 1.22.0 から 1.25.1 までにおいて、DNSSEC で署名された親ドメインの下にある深くネストされた名前に対する単一のクライアントクエリが、設定された「max-global-quota」を超える上流パケットをクライアントクエリごとに Unbound が送信させる可能性があります。これにより、上流の増幅トラフィックを制限するセキュリティ設定を実質的に回避してしまいます。

NLnet LabsのUnbound 1.15.0から1.25.1まで（1.25.1を含む）において、DNS-over-TLS（DoT）の転送クエリに使用されるTLSサーバ名は、ある構造体（'serviced_query'）のライフタイムに結びついていますが、別の構造体（'waiting_tcp'）からも参照されています。DoTのTCPストリームがまだハンドシェイク中でメッシュから排除されると、所有する構造体に関連する参照文字列の背後にあるストレージが解放されます。その後TLSストリームがエラーになると、解放済みポインタが逆参照されます。この逆参照は読み取り専用であり、実際にはデーモンのクラッシュを引き起こし、サービス拒否（DoS）状態となります。DoT転送/スタブのUnboundの設定を知る悪意のある攻撃者は、適切なゾーンレコードを問い合わせつつ、Unboundに負荷をかけて排除ロジックが発動するように操作することで、この脆弱性を悪用できます。脆弱なゾーンの応答が遅いほど、そのようなクエリが排除される可能性は高まりますが、排除のタイミングは正確である必要があります。脆弱なUnboundで条件となるのは、DoT用に設定されたスタブ/フォワードゾーンの存在と、サーバ識別の'#authname'サフィックスが設定されていることです。サーバへの接続は、脆弱なエラーパスを誘発するために正しいタイミングで一時的な障害を示す必要があります。

NLnet Labs Unbound バージョン1.7.0から1.25.1まで（1.25.1を含む）において、auth/rpzゾーンに設定されたプライマリホスト名がBOGUSのA/AAAAレコードに解決される場合でも、そのホスト名はXFRの可能性があるエンドポイントとして扱われます。ホスト名のA/AAAAレコードを偽装できる悪意のある攻撃者（有効なRRSIGは不要）は、そのゾーンのXFRプライマリとなり、ゾーン全体またはリゾルバの全レスポンスポリシーを置き換えることが可能です。

NLnet LabsのUnboundバージョン1.25.1以下において、'unwanted-reply-threshold'が有効（0より大きい任意の値に設定）になっている場合、0.0.0.0/::0のグルーレコードが、そのようなトラフィックをルーティング可能なシステム上でUnboundをショートサーキットさせる可能性があります。これはDNSクエリを発行し、リモートIPが元の送信元IPである0.0.0.0/::0と一致しないため、一見不要な応答を受け取る動作によって発生します。この挙動はグルーレコードに対してループを繰り返し、カウンターを設定された'unwanted-reply-threshold'まで押し上げ、防御的なキャッシュクリアをトリガーします。委譲を制御し、0.0.0.0/::0のin-bailiwickグルーレコードを返す悪意のある攻撃者は、このカウンターを閾値まで押し上げ、メッセージおよびrrsetキャッシュのクリアを意のままに無期限に引き起こすことができます。ループバック経由でデータグラムをルーティングするLinuxカーネルのようなシステム（0.0.0.0/::0グルーを使用）では、Unbound自身のリスナーが127.0.0.1から応答します。0.0.0.0と127.0.0.1の不整合のため、この例ではUnboundは応答を不要（おそらく偽装）応答としてカウントします。カウンターはキャッシュフラッシュのたびにゼロにリセットされるため、この攻撃は永遠にループし続けます。

NLnet LabsのUnboundバージョン1.25.0から1.25.1までにおいて、「respip」および「dns64」モジュールが連携して動作するようにする修正により、影響範囲のビュー名の浅いコピーが作成されるようになりました。これは、Unboundが高負荷の状態にある際に元のビュー名の所有者が強制的に解放されると、メモリ破損を引き起こす可能性があるためです。Unboundは「respip」または「rpz」モジュールのいずれかと、サブクエリを付加可能なモジュール（respipのCNAMEリダイレクション、dns64、subnetcache）および「access-control-view」が設定された状態で高負荷になる必要があり、その結果ジョストル（jostle）ロジックが作動して遅いクエリを破棄し始めます。サブクエリはビュー名の浅いコピーを取得し、ビュー名を所有するスーパークエリが強制的に解放されるとメモリ破損が発生する可能性があります。クラッシュの可能性は低く、基盤となるメモリアロケータやメモリレイアウトに大きく依存します。ASANなどのデバッグ用メモリビルドでは、この解放を検出してサーバを終了させます。

NLnet LabsのUnboundバージョン1.10.0から1.25.1まで（1.25.1を含む）において、『serve-expired: yes』が設定され、かつ『response-ip: ＜net＞ redirect』または『response-ip-data: ＜net＞ CNAME ＜target＞』ルール（またはRPZの『rpz-cname-override』相当）が有効な場合、任意の委任ドメインを制御するリモートクライアントがデーモンをクラッシュさせることができます。serve-expired-client-timeoutコールバックは、respipで生成されたCNAMEエイリアスを追跡するために2回のループを実行しますが、2回目のループで'alias_rrset'はリセットされるものの、'partial_rep'はリセットされません。この不整合が後にNULLポインタ参照を引き起こし、最終的にクラッシュを招きます。悪意のある攻撃者は、応答IPやRPZサブネット内に該当するA/AAAAレコードで応答する任意のゾーンを制御することで、この脆弱性を悪用できます。期限切れとなった前のレコードに対し応答を遅延させることで、『serve-expired-client-timeout』の脆弱な処理経路が通り、サーバーのクラッシュによるサービス拒否を引き起こします。

NLnet Labs の Unbound バージョン 1.7.0 から 1.25.1 までにおいて、『dnscrypt:』句が『dnscrypt-secret-key:』ファイルの一致数より多くの『dnscrypt-provider-cert:』ファイルをリストしている場合、Unbound は一致したプレフィックスのみを埋め、残りのスロットは libsodium のアロケーターにより各割り当てに書き込まれる『0xdb』で満たされたままになります。Unbound は実際のスロット数ではなく、証明書ファイルの数に基づいて反復処理を行うため、『0xdb』バイトで埋められたガベージデータのスロットにアクセスしてしまいます。認証されていない任意のクライアントが、最初の 8 バイトが『0xdb』である長さ 68 バイト以上の UDP データグラムを『dnscrypt-port』に送信すると、そのガベージエントリを使用してガベージポインタ参照が発生し、サーバーがクラッシュします。これは正しいクライアントクエリでトリガーされるまで気付かれない静かな設定ミスです。Unbound は DNSCrypt サポート（『--enable-dnscrypt』）を有効にしてコンパイルする必要があります。

NLnet LabsのUnbound 1.22.0から1.25.1までのバージョンにおいて、リモートの認証されていないクライアントが、単一のDNS-over-QUIC（DoQ）接続と1つの通常のDNSクエリを使用して、libngtcp2のアサーション（アサーション有効時）をトリガーし、Unbound全体のプロセスを終了させることが可能です。これはlibngtcp2に誤ったエラー値が渡されることに起因しています。『ngtcp2_conn_writev_stream()』が『NGTCP2_ERR_STREAM_DATA_BLOCKED』を返すと、Unboundは引き続き『ngtcp2_ccerr_set_application_error()』をエラー値『-1』で呼び出します。整数リテラルの『-1』は関数の『uint64_t error_code』パラメーターに暗黙的に『0xFFFFFFFFFFFFFFFF』として変換されます。その後の『ngtcp2_conn_write_connection_close()』は、その値をQUICの可変長整数としてシリアライズしますが、『2^64-1』は62ビットのvarintの上限を超えるため、『ngtcp2_put_uvarintlen()』が『assert(n ＜ 4611686018427387904ULL)』に失敗し、リゾルバの全プロセスが中断します。リモートの認証されていないDoQクライアントは、トランスポートパラメーターに『initial_max_stream_data_bidi_local = 1』を広告し、ストリームを一切読み込むことなく1つのDoQクエリを送信することで、この状態を単一のQUIC接続で確定的に引き起こすことができます。

NLnet LabsのUnboundバージョン1.25.1まで（含む）において、バリデータがRRSIGでカバーされたPX/RP/MINFO/SOAのRRセットの正規RDATA形式を構築する際に、2番目の埋め込みドメイン名のアドレスを「datstart + dname_valid(datstart, ...)」として計算し、RDATA内に2番目の名前が実際に存在するかどうかを確認せずに、そのまま「query_dname_tolower()」に渡します。ワイヤフォーマットのパーサは、RDATAが最初の名前で終了するマルチドメイン名のRRを受け入れるため、DNSSEC署名された権威サーバを運用する攻撃者は、存在しない2番目のドメイン名（例：SOAレコード）を持つレコードを配信できます。「query_dname_tolower()」はワーカーごとの「env-＞scratch_buffer」のラベルを1つずつ辿り、ヒープ割り当ての終端を超えて（「msg-buffer-size」がデフォルトから低く設定されている場合）古いバイトを読み進めることを引き起こします。これによりヒープバッファのオーバーフローが発生し、リリースビルドではバッファの末尾や隣接するヒープチャンクの内容に大きく依存する結果となります。

Oracle Fusion MiddlewareのOracle Coherence製品（コンポーネント：Core）における脆弱性です。影響を受けるサポート対象バージョンは14.1.1.0.0、14.1.2.0.0、および15.1.1.0.0となっています。悪用が困難な脆弱性のため、HTTP経由でネットワークアクセスが可能な認証されていない攻撃者がOracle Coherenceを侵害する可能性があります。この脆弱性を悪用した攻撃に成功すると、Oracle Coherenceがハングしたり、頻繁に再現可能なクラッシュ（完全なサービス拒否：DoS）を引き起こしたりするとともに、不正な操作権限を得る可能性があります。さらに、Oracle Coherenceでアクセス可能なデータの一部に対し、認可されていない更新、挿入、削除のアクセスを許してしまう場合があります。CVSS 3.1ベーススコアは6.5（インテグリティおよび可用性への影響）です。CVSSベクターは次の通りです：（CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:H）。