脆弱性情報（JVN）検索・一覧

OpenTelemetry eBPFインストルメンテーションは、OpenTelemetry標準に基づくeBPFインストルメンテーションを提供します。バージョン0.4.0から0.8.0未満の間、Javaエージェントの注入経路に欠陥があり、Javaワークロードを制御するローカル攻撃者がJava注入が有効でOBIが昇格権限で実行されている場合に、任意のホストファイルを上書きできました。インジェクターはターゲットプロセスの信頼されたTMPDIRを使用しており、安全でないファイル作成のセマンティクスを用いていたため、ファイルシステムの境界を脱出し、シンボリックリンクを利用してファイルを破壊できました。この脆弱性はバージョン0.8.0で修正されています。

Claris FileMaker Cloudにおけるリモートコード実行の脆弱性により、管理コンソールの特権を持つユーザーがOSスクリプトのスケジュールタイプに対するフロントエンドの制限を回避し、基盤となるホスト上で任意のオペレーティングシステムコマンドを実行できる問題が発生していました。この問題はFileMaker Cloud 2.22.0.5で修正されています。

Claris FileMaker Cloudにおけるリモートコード実行の脆弱性により、管理コンソール権限を持つユーザーが外部ODBCデータソース接続テスト機能の未消毒の入力を通じて任意のオペレーティングシステムコマンドを注入できる問題が発生していました。この問題はFileMaker Cloud 2.22.0.5で修正されています。

Sentry 8.2.0には、認証されたスーパーユーザーが監査ログエントリのdataパラメータを介して悪意のあるpickleシリアライズオブジェクトを注入し、任意のコマンドを実行できるリモートコード実行の脆弱性があります。攻撃者は、管理者監査ログのエンドポイントにbase64エンコードされた圧縮pickleペイロードをdataフィールドに含む巧妙に作成されたPOSTリクエストを送信することで、アプリケーション権限でコードを実行できます。

Ashlar-Vellum Cobalt、Xenon、Argon、Lithium、およびCobalt Shareのバージョン12.6.1204.216以前には、バッファオーバーフロー（境界外書き込み）の脆弱性が存在します。この脆弱性により、特別に細工されたVC6ファイルが解析される際に、攻撃者が任意のコードを実行できる可能性があります。

Ashlar-Vellum の Cobalt、Xenon、Argon、Lithium、および Cobalt Share バージョン 12.6.1204.216 以前には、境界外読み取りの脆弱性が存在します。この脆弱性により、特別に細工された VC6 ファイルが解析される際に、攻撃者が情報を開示したり、任意のコードを実行したりする可能性があります。

Ashlar-Vellum Cobalt、Xenon、Argon、Lithium、およびCobalt Shareのバージョン12.6.1204.216以前には、境界外読み取りの脆弱性が存在します。この脆弱性により、特別に細工されたVC6ファイルが解析される際に、攻撃者は情報を漏洩させたり、任意のコードを実行したりすることが可能です。

Windows TCP/IPのヌルポインタ参照により、不正な攻撃者が隣接するネットワーク上でサービス拒否攻撃を引き起こすことが可能です。

Windows TCP/IP におけるヌルポインタ参照の脆弱性により、不正な攻撃者が隣接するネットワーク上でサービス拒否を引き起こす可能性があります。

WindowsのTCP/IPにおけるUse after freeの脆弱性により、権限のない攻撃者がネットワーク越しにコードを実行できる可能性があります。

Windows Admin Centerのアクセス制御に不備があり、認可された攻撃者がネットワーク上で特権を昇格させることが可能になります。

Windows Ancillary Function Driver for WinSockにおけるファイル名またはパスの外部制御の脆弱性により、正当な権限を持つ攻撃者がローカルで特権を昇格させることが可能です。

データ重複排除におけるUse after freeの脆弱性により、認可された攻撃者がローカル環境で権限を昇格させることが可能です。

Microsoft Edge（Chromiumベース）におけるファイル名またはパスの外部制御により、不正な攻撃者がネットワーク上で情報を開示できる脆弱性があります。

GitHub CopilotおよびVisual Studioにおいて、下流コンポーネントで使用される出力中の特殊要素が不適切に無害化されている（「インジェクション」）ため、不正な攻撃者がネットワーク経由でセキュリティ機能を回避できる問題があります。

CKANは、データハブやデータポータルを支えるためのオープンソースのデータ管理システム（DMS）です。バージョン2.10.10および2.11.5より前のバージョンでは、設定されたSMTPサーバーが任意の証明書（例：自己署名証明書）でなりすまされる可能性があり、その結果、認証情報や送信されるすべての電子メールが中間者攻撃（MITM攻撃）にさらされるおそれがありました。この脆弱性はバージョン2.10.10および2.11.5で修正されています。

Visual Studio Codeのセッションフィクゼーションにより、認可されていない攻撃者がネットワークを介して権限を昇格させることが可能になる脆弱性が存在します。

Microsoft Authenticatorにおける機密情報が不正利用者に露出し、不正な攻撃者がネットワーク経由で情報を漏洩させる可能性があります。

Signal K Serverは、ボートの中央ハブ上で動作するサーバーアプリケーションです。バージョン2.25.0以前では、HTTPログインエンドポイント（POST /loginおよびPOST /signalk/v1/auth/login）はexpress-rate-limit（デフォルトでは10分間に100回の試行、HTTP_RATE_LIMITSで設定可能）によって保護されていました。しかし、WebSocketログインパス、つまり確立されたWebSocket接続上で{login: {username, password}}メッセージを送信する操作は、app.securityStrategy.login()を直接呼び出しており、レート制限がまったく適用されていませんでした。攻撃者はWebSocket接続を開くことでHTTPのレート制限を完全に回避でき、bcryptの許容速度（10回のソルトラウンドで約20回/秒）で無制限にパスワード推測を試みることができました。この問題はバージョン2.25.0で修正されました。

Argo Workflowsは、Kubernetes上での並列ジョブのオーケストレーションのためのオープンソースのコンテナネイティブワークフローエンジンです。バージョン3.7.14および4.0.5より前のバージョンでは、Workflow作成権限を持つユーザーがtemplateReferencing: Strictをバイパスし、ホストネットワークへのアクセス、サービスアカウントの切り替え、Podセキュリティコンテキストの上書き、制御プレーンノードへのスケジューリングのためのトレランス追加、またはSAトークンマウントの有効化を行うことが可能でした。これは、この機能の目的を損なう行為です。実際の影響は、Kubernetesレベルでどのような制御があるかによります。PodSecurity AdmissionやOPA/Gatekeeperを使用しているクラスターでは、一部機能（例えばhostNetworkの使用）を独自にブロックします。ArgoのStrictモードを主な強制レイヤーとしているクラスターは完全に曝露されます。この問題はバージョン3.7.14および4.0.5で修正されました。

Argo Workflowsは、Kubernetes上で並行ジョブのオーケストレーションを行うオープンソースのコンテナネイティブワークフローエンジンです。バージョン4.0.0から4.0.5未満の間、Sync ServiceのConfigMapを利用したプロバイダー(server/sync/sync_cm.go)は、すべてのCRUD操作（作成、読み取り、更新、削除）に対して認可チェックを一切行いませんでした。認証されたユーザーであれば、偽のBearerトークンを使用する者を含めて、同期制限を含むKubernetesのConfigMapを作成、読み取り、更新、削除することが可能でした。この問題はバージョン4.0.5で修正されました。

pyLoadはPythonで書かれた無料のオープンソースのダウンロードマネージャーです。0.5.0b3.dev100以前のバージョンでは、管理者専用の設定項目を隠す許可リストに不備があったため、非管理者ユーザーがプロキシ設定を変更して任意のホストを経由させることが可能でした。これにより、すべてのアウトバウンド通信が攻撃者を経由してルーティングされるリスクがありました。この問題は0.5.0b3.dev100で修正されています。

Mongooseは非同期環境で動作することを目的としたMongoDBのオブジェクトモデリングツールです。6.13.9、7.8.9、8.22.1、および9.1.6より前のバージョンには、$nor演算子を介してMongooseのsanitizeFilterクエリサニタイズ機構を回避できる脆弱性が存在していました。sanitizeFilterが有効な場合、Mongooseはクエリ演算子を$eqでラップして無効化します。しかし、修正前は$norが再帰的にサニタイズされる論理演算子のセットに含まれていませんでした。$norは$andや$orのように配列を受け入れ、配列はhasDollarKeys()をトリガーしないため、悪意のある演算子（$ne、$gt、$regexなど）を$nor句内に注入してもサニタイズされませんでした。この脆弱性は6.13.9、7.8.9、8.22.1、および9.1.6で修正されています。

ArcaneはDockerコンテナ、イメージ、ネットワーク、およびボリュームを管理するためのインターフェースです。バージョン1.18.0以前では、ArcaneのHumaバックエンドの/api/templates*配下の4つのGETエンドポイントがセキュリティ要件なしで登録されており、認証されていないネットワーククライアントがインスタンスに保存されているすべてのカスタムテンプレートの完全なCompose YAMLおよび.envの内容を一覧および読み取ることが可能でした。ArcaneのUIはプロジェクトやswarm-stack作成ページで「テンプレートとして保存」機能を提供しており、オペレーターの実際のenv内容（データベースパスワード、APIキーなど）をそのまま保存します。この認可が欠落していることで、実際に未認証のままオペレーターの秘密情報が読み取られ、理論的な情報漏洩ではありません。フロントエンドは/customize/templates/*を認証済みエリアとして明示的に扱っており（frontend/src/lib/utils/redirect.util.tsのPROTECTED_PREFIXES）、同じパスに対するすべてのCRUD操作（POST/PUT/DELETE）はBearer/APIキーを要求します。これは明確なバックエンドの認可ギャップであり、意図された公開アクセスではありません。この問題はバージョン1.18.0で修正されました。

SQLBotは大規模言語モデルとRAGに基づくインテリジェントなText-to-SQLシステムです。バージョン1.8.0以前のSQLBotには、/api/v1/datasource/exportDsSchemaおよび/api/v1/datasource/uploadDsSchemaエンドポイントにクロスワークスペースIDOR（不適切な直接オブジェクト参照）と認証バイパスの脆弱性が存在していました。攻撃者は他のテナントやワークスペースに属するデータベーススキーマやデータソースにアクセスし、変更を加えることが可能でした。この脆弱性はバージョン1.8.0で修正されています。

Microsoft Officeのヒープベースのバッファオーバーフローにより、不正な攻撃者がローカルでコードを実行できる可能性があります。

arduino-esp32はESP32、ESP32-S2、ESP32-S3、ESP32-C3、ESP32-C6およびESP32-H2マイクロコントローラー用のArduinoコアです。バージョン3.3.8以前では、arduino-esp32のWebServer Digest認証実装がクライアントのAuthorizationヘッダーのURIフィールドを用いて認証ハッシュを計算しており、実際に要求されたURIと一致するかどうかを確認していませんでした。このため、有効なDigestレスポンス（URI-Aに対して計算されたもの）を持つ攻撃者が、まったく異なる保護されたURI（URI-B）へのリクエストを認証し、リソースごとのアクセス制御をバイパスできる状態でした。この脆弱性はバージョン3.3.8で修正されています。

Linuxカーネルにおいて、以下の脆弱性が修正されました。octeontx2-afでは、stickyを無効にしてSQM/PSEのスタールを回避しています。NIX SQマネージャのstickyモードは、複数のSQがSMQを共有して同時に送信する際にスタールを引き起こすことが知られています。さらに、PSEはstickyとnon-stickyの送信間の遷移でデッドロックする可能性があります。また、特定の条件でクロックがゲートされる場合にクレジットドロップの問題も観測されています。これらのハードウェア誤動作を回避するために、以下の対策を実施しています。- SQMのsticky動作を無効化しています：TM6（ビット15）をクリアし、TM11（ビット14）をクリアします。- PSEがデッドロックする可能性のあるstickyからnon-stickyへの遷移パスを無効化しました：TM5（ビット23）をクリアします。- 制御フロークロックを有効のままにしてクレジットドロップを防止しています：TM9（ビット21）を設定します。これらの変更はNIX_AF_SQM_DBG_CTL_STATUSを介して適用されます。この設定により、sticky最適化を無効にする代償はあるものの、ロード下でSQMとPSEはクレジット損失なく処理を進行させることが可能になります。

Linuxカーネルにおいて、mm/page_allocのfree_pages_prepare()関数内でpage-privateをクリアする修正が行われました。いくつかのサブシステム（slub、shmem、ttmなど）はpage-privateを使用していますが、ページ解放前にこれをクリアしなかったため、分割されたハイオーダーページの末尾のページに古い値が残り、スワップサブシステムでユースアフターフリーやカーネルクラッシュが引き起こされていました。この問題はfree_pages_prepare()内でpage-privateをクリアすることで解決されました。

Linuxカーネルにおいて、以下の脆弱性が修正されました：iio: accel: adxl380はFIFOに存在するエントリ数を超えて読み取らないように修正されました。割り込みハンドラは、有効化されたスキャン要素の数Nのバッチ単位でFIFOエントリを読み取ります。しかし、センサーは複数チャネルが有効でも1サンプルずつFIFOにデータを格納します。そのため、FIFOステータスレジスタが報告するエントリ数は必ずしもNの倍数にならず、倍数でない場合には実際に存在するエントリ数を超えて読み取られる可能性がありました。この問題を解決するために、ステータスレジスタから読み取るFIFOエントリ数をNの倍数になるように切り捨てるようにしました。

Linuxカーネルにおいて、以下の脆弱性が修正されました：bpfに関する問題で、間接ジャンプのためにライブレジスタを適切にマークする処理です。具体的には、`gotox rX`命令について、compute_insn_live_regs()関数内でrXレジスタを使用中としてマークする必要があり、この点を修正しました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。Bluetoothのhci_syncにおけるle_read_features_complete関数のUse-After-Free（UAF）を修正しました。この修正は、hci_connがle_read_features_completeの呼び出し前に解放され、hci_le_read_remote_features_syncの後に発生したバックトレースの問題を解決します。そのため、hci_conn_delからhci_cmd_sync_dequeueへの処理が防止できなくなっていました。問題の詳細としては、KASAN（Kernel Address SANitizer）によるslab-use-after-freeのバグが含まれており、atomic_read_write、atomic_dec_and_test、hci_conn_drop、le_read_features_completeなどの複数の関数内で発生しています。この問題は、kworkerタスクによって解放済みのメモリ領域に4バイトの書き込みが行われたことに起因します。影響を受ける環境はGoogle Compute EngineのLinuxカーネルであり、BIOSバージョンは2025年10月25日です。この脆弱性の修正により、Bluetoothのリモート機能読み取り処理中に発生するUse-After-Freeの問題が解消されます。

Linuxカーネルにおいて、以下の脆弱性が修正されました：USBのdummy-hcdにおける割り込み同期エラーの修正です。この修正はdummy-hcdドライバー内の同期エラーを解決します。このエラーには多少複雑な経緯があります。同期機構はコミット7dbd8f4cabd9（"USB: dummy-hcd: 誤った同期変更の修正"）で導入され、そこではエミュレートされた「割り込み有効」フラグとsynchronize_irq()をエミュレートするコード（すべての現在のハンドラコールバックが終了するまで待機）が追加されました。しかし、エミュレートされた割り込み無効化は遅すぎて、ハンドラコールバックルーチンを含むドライバーがバインド解除され、これ以上コールバックが発生しないと通知された後に実行されていました。コミット4a5d797a9f9c（"usb: gadget: dummy_hcd: gadget_setupのgpf修正"）は、この問題をdummy_stop()からdummy_pullup()にsynchronize_irq()エミュレーションコードを移動することで修正しようとしました。dummy_pullup()はバインド解除コールバックの前に実行されます。しかしながら、エミュレートされた割り込み無効化が遅すぎるため、まだ競合状態が存在していました。またdummy_pullup()はバインド解除以外の理由で呼び出されることがあり、そこに移動できませんでした。そこでコミット7dc0c55e9f30（"USB: UDCコア: udc_async_callbacks gadgetオペレーションの追加"）と04145a03db9d（"USB: UDC: dummy-hcdでudc_async_callbacksの実装"）により、UDCコアがdummy-hcdに対してエミュレートされた割り込みやコールバックを無効にすべき正確なタイミングを通知できるAPIが追加されました。しかし現在の問題は、エミュレートされたsynchronize_irq()が割り込み無効化より先に実行されてしまうことであり、これによりsynchronize_irq()の実行後にもエミュレートされた割り込みが発生する可能性があるため、ガジェットドライバーのバインド解除時にコールバックハンドラーが実行中となる場合がある点です。この問題を修正するために、synchronize_irq()のエミュレーションコードをさらにdummy_udc_async_callbacks()ルーチンに移動しました。このルーチンはエミュレートされた割り込み要求の有効化および無効化を管理しており、これにより同期処理はエミュレートされた割り込みが無効化されて直後に実行されるようになりました。これが正しい動作です。

Linuxカーネルにおいて、以下の脆弱性が修正されました。BluetoothのSMPにおいて、ペアリング応答の構築前にレスポンダーのMITM要件を強制しています。smp_cmd_pairing_req()は現在、イニシエータのauth_reqからペアリング応答を構築しますが、ローカルのBT_SECURITY_HIGH要件を強制する前に行っていました。イニシエータがSMP_AUTH_MITMを省略すると、ローカル側がMITMを要求していても応答もそれを省略する可能性があります。tk_request()はSMP_AUTH_MITMなしのauth値を検出し、JUST_CFMを選択する場合があり、メソッド選択は既にレスポンダが適用しているペアリングポリシーと一貫しなくなっていました。ローカル側がHIGHセキュリティを要求する場合、まずIO機能からMITMが達成可能か検証し、その後応答のrsp.auth_reqおよびauth内でSMP_AUTH_MITMを強制します。これにより、レスポンダの認証ビットと後のメソッド選択が連動し、整合性を保っています。

Linuxカーネルにおいて、以下の脆弱性が修正されました。lib/cryptoのchachaにおいて、permuted_stateがスコープ外に出る前にゼロ化されます。ChaChaのパーミューテーションは可逆的であるため、ローカル変数"permuted_state"を使ってパーミューテーション後でも元の"state"、つまり鍵を計算することが可能です。カーネルはスタック上の秘密情報をゼロ化することに関して一貫性が欠けており（一部の主要なユーザースペースの暗号ライブラリは動作保証がないため全く行っていません）が、特にRNGに関連する場合はベストプラクティスとしてゼロ化を試みています。そのため、"permuted_state"がスコープ外に出る前に明示的にゼロ化する処理を追加しました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。ipv6のaddrconf_permanent_addr()関数で発生する可能性があるUse-after-Free（UaF）を防止するためです。指摘されたヘルパーは異常な状態についてユーザーに警告しようとしますが、そのメッセージが遅れて届けられ、ipv6にアクセスした際には既に削除されている可能性があります。可能なUaFを回避するために、文の順序を入れ替え、同時に警告をidev-lockの外側に置くようにしました。警告は保護を必要としないためです。

Linuxカーネルにおいて、以下の脆弱性が修正されました。net: ipa: IPA v5.0+向けのイベントリングインデックスが正しくプログラムされていなかった問題です。IPA v5.0+では、イベントリングインデックスフィールドがCH_C_CNTXT_0からCH_C_CNTXT_1に移動しました。v5.0のレジスタ定義では、このフィールドをCH_C_CNTXT_1のfmask配列に定義することを意図していましたが、ERINDEXの古い識別子を使ってしまい、CH_ERINDEXを使用していませんでした。有効なイベントリングがなければ、GSIチャネルは転送完了をシグナル化できません。このため、gsi_channel_trans_quiesce()はwait_for_completion()で永久にブロックされる問題が発生していました。少なくともIPA v5.2では、ランタイムサスペンド、システムサスペンド、remoteprocの停止で永久にハングする問題が解決されました。また、この問題によりIPAデータパスは完全に機能しなくなっていました。

Linuxカーネルのarm64版において、Monacoベースのプラットフォームで発生する誤った「同期式外部アボート」例外およびカーネルクラッシュの原因が修正されました。これは、カーネルがハイパーバイザ所有のメモリ領域を正しく予約せず、誤ってアクセスしたために発生していました。具体的には、Qualcommハイパーバイザが512KiBのメモリ領域を所有しているにもかかわらず、EFIメモリマップではその一部のみが予約済みとして扱われており、不足している領域が通常メモリとして報告されていたことが問題でした。この結果、カーネルのメモリアロケータが誤ってその領域を割り当て、アクセス時に致命的な障害を引き起こしていました。対応策として、Gunyahハイパーバイザのメタデータ領域全体を予約済みメモリ領域としてマークし、Linuxが該当領域にアクセスしないようにしました。これにより、該当するメモリの不整合によるカーネルクラッシュを防止しています。

Linuxカーネルにおいて、以下の脆弱性が修正されました。smbでは、クライアントがモードビットを読み取る前に完全なNFSモードSIDを要求します。parse_dacl()は、sid_unix_NFS_modeと一致するACE SIDをNFSモードSIDとして扱い、モードビットを復元するためにsid.sub_auth[2]を読み取ります。この処理はACEが3つのサブオーソリティを持つことを前提としていますが、compare_sids()はmin(a, b)のサブオーソリティのみを比較します。悪意のあるサーバーはnum_subauth = 2かつsub_auth[] = {88, 3}のACEを返し、これによりsid_unix_NFS_modeと一致し、sub_auth[2]の読み取りがACEの末尾から4バイト上書きして読み取られる可能性があります。ACEをNFSモードSIDとして扱う前にnum_subauth = 3であることを要求します。これにより特別なSIDモードパスの修正に限定され、cifsaclの他の部分のcompare_sids()の動作には影響を与えません。

Linuxカーネルにおけるi3cドライバーのDMAデキュー時のRING_CTRL_ABORT処理の不備により、リング中断の発行や完了待機が正しく行われず、コントローラー状態が破壊され、不正な動作が発生する問題がありました。この脆弱性は、リングが既に停止している場合の中断発行抑制や完了オブジェクトの再初期化、中断時のRING_CTRL_ENABLEの維持などによって修正されました。