脆弱性情報（JVN）検索・一覧

Linuxカーネルにおいて、以下の脆弱性が修正されました。i3cのmipi-i3c-hciにおけるDMAリングのデキュー処理に競合状態が存在していました。HCIのDMAデキューパス(hci_dma_dequeue_xfer())は、ほぼ同時にタイムアウトする複数の転送に対して呼び出される可能性があります。しかし、この関数はシリアライズされておらず、自身と競合する可能性がありました。タイムアウトが発生すると、hci_dma_dequeue_xfer()はリングを停止し、不完全な転送を処理し、その後リングを再起動します。別のタイムアウトが並行して同じ関数への呼び出しをトリガーすると、2つのインスタンスが互いに干渉し、予期しないタイミングでリングの停止や再起動が発生する恐れがありました。そのため、hci_dma_dequeue_xfer()が自己に対してシリアライズされるようにミューテックスを追加しました。

Linuxカーネルにおいて、次の脆弱性が修正されました。smbクライアントのSMB2_write()におけるインプレース暗号化の破損の問題です。SMB2_write()は書き込みペイロードをrq_iovのiov[1..n]に配置します。smb3_init_transform_rq()はrq_iovのポインターを共有しているため、crypt_message()はiov[1]をインプレースで暗号化し、元の平文を暗号文で置き換えます。再試行可能なエラーが発生すると、リトライは元のデータではなく暗号文を含む同じiov[1]を送信し、データの破損が生じます。この破損は接続が不安定な場合に最も観察されやすく、再接続が書き込みリトライを引き起こし、既に暗号化されたデータを再送信するため発生します。これはSFUのmknodやMFのシンボリックリンクなどに影響を与えます。6.10以前のカーネル（netfsへの変換前）では、同期書き込みもこの経路を使用しており、同様の影響を受けていました。一方、非同期書き込みパスはrq_iterを使用し、それがディープコピーされるため影響を受けませんでした。修正内容としては、書き込みペイロードをiov_iter_kvec()を介してrq_iterに移動し、smb3_init_transform_rq()が暗号化前にそれをディープコピーするように変更しました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。xfs: undersized l_iclog_roundoff値の修正です。スーパーブロックにログストライプユニットがリストされていない場合、incoreログのroundoff値を512に設定します。このため、4k物理セクターを持つディスク上のgeneric/617でログが破損し、ファイルシステムのアンマウントができなくなる問題が発生します。XFS (sda1): V5ファイルシステム ff3121ca-26e6-4b77-b742-aaff9a449e1c のマウント中に、ログブロック0x318eでの破損書き込み(CRCエラー)が検出され、先頭ブロックを0x3197から切り詰めました。ログテイルの位置特定に失敗し、ログのマウントおよびリカバリがエラー -74で失敗し、ログマウント自体も失敗しました。現行のxfsprogs for-nextではmkfsが壊れており、xfs_infoの出力によるとログセクションはsectsz=4096 sunit=0となっていて、roundoffファクターは期待される4096ではなく512になっています。mkfsの不具合により破損したファイルシステムが生成される問題は修正すべきですが、誰でもオンディスクのスーパーブロックをファジング可能なため、より慎重な処理が求められます。この不適切なロジックはおそらくコミットa6a65fef5ef8d0より前から存在していましたが、これをバックポートするためには別の対応が必要となります。

Linuxカーネルにおいて、以下の脆弱性が修正されました。io_uring/kbufで、ターゲットバッファリストがリサイクル時にまだレガシーかどうかを確認するバグが存在していました。バッファが取得された時点とリサイクルされる可能性がある時点の間に隙間があり、その間にリストが空の場合、誰かがそれをリング提供タイプにアップグレードしてしまう可能性があります。この問題はリクエストがio-wq経由で強制された場合に発生します。レガシーリサイクル処理ではbuffer_listがまだ存在しているか、正しいタイプかどうかを確認していませんでした。これらのチェックを追加しました。

Linuxカーネルにおいて、drm/i915でshmem scatterlistの長さがオーバーフローする可能性がある脆弱性が修正されました。4GB以上のサイズを持つGEM shmemオブジェクトのscatterlistテーブルがfolioから割り当てられたページで埋められる際に、scatterlistのlength属性が4GBを超えてオーバーフローする可能性があります。その結果、オブジェクトの利用者は予期しないページ終端に遭遇する可能性があります。この問題は、folioのページをscatterlistテーブルに追加する際に、単一のscatterlistのバイト長が最大セグメントサイズを超えないように制御することで対処されています。

Linuxカーネルのdrm/amdgpuにおいて、VM取得時のuse-after-free競合の脆弱性を修正しました。非原子的なvm-process_infoの代入をcmpxchg()に置き換えることで、fork()後に親プロセスと子プロセスが同じdrm_fileを共有し、両方が同じVMを取得しようとした際の競合を防止しました。この問題はコミットc7c573275ec20db05be769288a3e3bb2250ec618からチェリーピックされました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。net: ncsiにおけるエラーパスでのskbリークを修正しました。NCSIのRXおよびAENハンドラは、早期リターンパスで受信したskbを解放せずに終了していたため、メモリリークが発生していました。具体的には、ncsi_aen_handler()が無効なAENパケットでskbを消費せずに戻り、同様にncsi_rcv_rsp()はNCSIデバイス、レスポンスハンドラ、またはリクエストの解決に失敗した際に早期終了し、skbを解放しませんでした。

Linuxカーネルにおいて、以下の脆弱性が修正されました: net: nexthop: remove_nh_grp_entry内のpercpu use-after-freeの問題を修正しました。グループからnexthopを削除する際、remove_nh_grp_entry()はrсu_assign_pointer()で新しいグループを公開し、その直後にfree_percpu()で削除されたエントリのpercpu統計を解放していました。しかし、呼び出し元のremove_nexthop_from_groups()内のsynchronize_net()の猶予期間はfreeの後に実行されます。公開前に入ったRCUリーダーは古いグループを見続けるため、nh_grp_entry_stats_inc()関数がget_cpu_ptr(nhge-stats)を介して解放済みの統計にアクセスし、percpuメモリのuse-after-freeが発生していました。修正として、呼び出し元でsynchronize_net()の呼び出し後までfree_percpu()の遅延を行うようにしました。削除されたエントリはnh_listを介してローカルの遅延解放リストに連結され、猶予期間が終了してすべてのRCUリーダーが終了した後にpercpu統計を安全に解放するようにしています。

Linuxカーネルにおいて、以下の脆弱性が修正されました。ksmbdでは、SMB3署名および暗号化キー生成時にキーをログに記録しないように変更されました。KSMBD_DEBUG_AUTHログが有効な場合、generate_smb3signingkey()およびgenerate_smb3encryptionkey()はセッションキー、署名キー、暗号化キー、および復号キーのバイトをログに記録していました。認証情報が露出することを避けるため、これらのログは削除されました。

Apache TomcatのLockOutRealmにおける大文字小文字の区別の不適切な処理に脆弱性があります。この問題は、Apache Tomcatのバージョン11.0.0-M1から11.0.21まで、10.1.0-M1から10.1.54まで、9.0.0-M1から9.0.117まで、8.5.0から8.5.100まで、7.0.0から7.0.109までに影響します。サポートされていない古いバージョンも影響を受ける可能性があります。ユーザーは、この問題を修正したバージョン11.0.22、10.1.55、または9.0.118にアップグレードすることを推奨します。

changedetection.ioは無料のオープンソースのウェブページ変更検出ツールです。バージョン0.55.1以前では、バックアップファイルから復元された攻撃者が制御するスナップショットパスを信頼してしまうことで脆弱性が発生します。脆弱な処理の流れはバックアップ復元ロジックから始まります。バックアップZIPが復元されると、アプリケーションはアーカイブを展開し、復元された各監視UUIDディレクトリをshutil.copytree(entry.path, dst_dir)を使って直接ライブデータストアにコピーします。これにより、復元された監視ディレクトリ内の攻撃者制御下にあるファイル（history.txtを含む）が保持されます。復元後、アプリケーションは監視履歴プロパティ内のhistory.txtを解析し、ターゲットとされたローカルファイルの内容を返します。この脆弱性はバージョン0.55.1で修正されました。

VaultwardenはRustで書かれたBitwarden互換のサーバーです。バージョン1.35.5以前では、groups_users.users_organizations_uuidエントリがgroups.groups_uuidと同じ組織に属しているか、またはcollections_groups.collections_uuidエントリがcollections_groups.groups_uuidと同じ組織に属しているかを強制していません。複数の組織グループ管理エンドポイントは、任意のMembershipIdおよびCollectionIdの値を受け入れ、組織の整合性を検証せずにそれらを直接永続化します。これにより、組織Aで管理者権限を持ち、組織Bでは低権限メンバーである攻撃者が、自身の組織BメンバーシップUUIDを組織Aのグループに結び付け、その外部のグループ関係を利用して組織Bのボールトデータへの不正アクセスを得ることが可能になります。accessAll=trueの組織Aグループを使用すると、攻撃者は/api/syncおよび/api/ciphersで組織Bの暗号情報を列挙できます。不正な同期結果で組織BのコレクションIDが判明すると、攻撃者はそれらの外部コレクションIDを組織Aグループに結び付け、この脆弱性を利用して組織Bのアイテムに対する書き込みアクセス権を得ることも可能になります。この脆弱性はバージョン1.35.5で修正されました。

MISPはオープンソースの脅威インテリジェンス共有プラットフォームです。2.5.37以前のバージョンでは、認証キーリセット機能に不適切なアクセス制御の脆弱性が存在していました。そのため、認証済みの組織管理者が同一組織内のサイト管理者アカウントに属する認証キーをリセットできてしまいました。非サイト管理者がサイト管理者の認証キーにアクセスしたりリセットしたりすることを明確に制限していなかったため、組織管理者権限を持つ攻撃者はより高権限のアカウント用に新たに生成された認証キーを取得し、権限昇格に悪用する可能性がありました。この脆弱性は2.5.37で修正されています。

DataHubはオープンソースのメタデータプラットフォームです。バージョン1.5.0.3以前のDataHubのフロントエンド（datahub-frontend-react）には、OIDCコールバックフロー中にREDIRECT_URL HTTPクッキーから攻撃者が制御するJavaオブジェクトを復元（デシリアライズ）してしまう問題があり、整合性保護（HMACなし、暗号化なし）がありませんでした。これはGET /callback/oidcエンドポイントに影響を与える信頼されていないデータのデシリアライズ脆弱性（CWE-502）です。攻撃を成功させるには、設定されたOIDCアイデンティティプロバイダーに有効なユーザーアカウントが必要です。この脆弱性はバージョン1.5.0.3で修正されました。

libsixelはkmiyaのsixelに由来するSIXELエンコーダ/デコーダの実装です。バージョン1.8.7-r1までにおいて、sixel_encode_highcolorの割り当てサイズ計算で符号付き整数のオーバーフローが発生し、ヒープバッファオーバーフローを引き起こす可能性があります。公開されているsixel_encodeのエントリポイントは、幅と高さが0より大きいことのみを検証しており、上限は設けていません。幅と高さは、paletted_pixelsおよびnormalized_pixelsの割り当てサイズを計算する際に単純なint型として乗算されます。幅と高さの積がINT_MAX（約21.5億）を超えるピクセルバッファのエンコードをlibsixelに要求すると、割り当てサイズがラップし、正しいラップが起きるとmallocはエンコーダが想定するより大幅に小さいバッファで成功し、エンコーダはヒープ割り当ての末尾を越えて書き込みを行います。この脆弱性はバージョン1.8.7-r2で修正されました。

libsixelはkmiyaのsixelに由来するSIXELエンコーダ/デコーダの実装です。バージョン1.8.7-r1までにおいて、SIXELパーサの画像バッファ倍増ループで符号付き整数オーバーフローが発生し、sixel_decode_raw_implでヒープの境界外書き込みにつながる可能性があります。context-pos_xは各SIXEL文字のrepeat_countによって増加しますが、上限チェックがありません。pos_xがINT_MAXに近づくと、画像バッファのサイズを決定するために使用される「pos_x + repeat_count」の式が符号付き整数オーバーフローを引き起こします。オーバーフローの巻き戻り方によっては、過大なサイズのバッファを拒否すべきリサイズチェックを回避でき、その後の書き込みがimage-dataへの大きな攻撃者影響下のオフセットを計算し、割り当てサイズを超えて書き込みを実行します。この脆弱性は、攻撃者が提供するSIXELデータをデコードするあらゆる呼び出し元（img2sixelを含む）から悪用可能です。この脆弱性はバージョン1.8.7-r2で修正されました。

ZITADELはオープンソースのアイデンティティ管理プラットフォームです。バージョン2.71.11から3.4.10未満および4.15.0において、ZitadelのLDAPアイデンティティプロバイダーの実装に脆弱性が発見されました。この脆弱性は、ユーザーが提供したユーザー名をLDAP検索フィルターに組み込む前に適切にエスケープしないことによって発生します。これにより、認証されていない攻撃者がログインプロセス中にLDAPフィルターインジェクションを実行できる状態になります。この脆弱性は完全な認証バイパスを許すものではありませんが、攻撃者はLDAPのメタ文字（例：*, (, )）を使用してブラインドLDAPインジェクションを行うことが可能です。異なる失敗や成功の応答を観察することで、攻撃者は有効なユーザー名を体系的に列挙し、接続されたLDAPディレクトリから機密属性データを抽出できます。この脆弱性はバージョン3.4.10および4.15.0で修正されました。

AOS-8およびAOS-10オペレーティングシステムのWebベース管理インターフェースにコマンドインジェクションの脆弱性が存在します。これらの脆弱性を悪用されると、認証済みのリモート攻撃者が基盤となるオペレーティングシステム上で任意のコマンドを実行する可能性があります。

AOS-8およびAOS-10オペレーティングシステムのWebベース管理インターフェースにコマンドインジェクションの脆弱性が存在します。これらの脆弱性を悪用すると、認証済みのリモート攻撃者が基盤となるオペレーティングシステム上で任意のコマンドを実行できる可能性があります。

Zyxel WRE6505 v2 ファームウェアバージョン V1.00(ABDV.3)C0 の CGI プログラムに存在するコマンドインジェクションの脆弱性により、LAN 上の隣接する攻撃者が細工された HTTP リクエストを送信して、脆弱なデバイス上でオペレーティングシステム（OS）のコマンドを実行できます。

** 割り当て時にはサポートされていません ** Zyxel NWA1100-N カスタマイズファームウェアバージョン 1.00(AACE.1)C0 の “webs” バイナリに含まれる formWep()、formWlAc()、formPasswordSetup()、formUpgradeCert()、および formDelcert() 関数にバッファオーバーフローの脆弱性があります。この脆弱性により、攻撃者が細工されたHTTPリクエストを脆弱なデバイスに送信すると、サービス拒否（DoS）状態を引き起こす可能性があります。

Google Chrome 148.0.7778.168より前のバージョンのGPUにおけるUse After Freeの脆弱性により、リモートの攻撃者が細工されたHTMLページを介してサンドボックス内で任意のコードを実行できる可能性がありました。

CAI Content Credentialsのバージョン0.78.2、0.7.0およびそれ以前のバージョンにはリソース消費制御が不十分な脆弱性が存在し、これによりアプリケーションがサービス拒否（DoS）状態になる可能性があります。攻撃者はこの脆弱性を悪用してシステムリソースを枯渇させ、アプリケーションをサービス拒否状態にさせることができます。この問題を悪用するためにユーザーの操作は不要です。

AGL agl-service-can-low-level バージョン17.1.12までに、isotp-cライブラリにヒープバッファのオーバーリードの脆弱性が存在します。isotp_continue_receive（receive.c:87-89）において、Single Frameのpayload_lengthはCANフレームデータの4ビットのニブルから抽出され、その値は0から15までになります。しかし、標準的なCANフレームは8バイトのみで、ペイロードはdata[1]から始まり7バイトが利用可能です。payload_lengthが利用可能なデータを超える場合（例えば、ニブル値が15で実際には7バイトのペイロードしか存在しない場合）、memcpy(message.payload, &data[1], payload_length)はデータバッファの終端から最大8バイトまで読み越してしまいます。

Microsoft Data Formulatorにおけるコード生成の不適切な制御（「コードインジェクション」）により、権限のない攻撃者がネットワーク経由でコードを実行することができる。

OpenImageIOは、VFXやアニメーションに関連するあらゆる画像ファイル形式の読み取り、書き込み、操作を行うためのツールセットです。3.0.18.0および3.1.13.0より前のバージョンでは、sgiinput.cppの265行目と274行目でRLEデコードループ内の境界チェックにOIIO_DASSERTが使用されていました。リリースビルドでは、OIIO_DASSERTは((void)sizeof(x))にコンパイルされ（dassert.hの210行目）、すべての境界チェックが実質的に無効になります。スキャンライン幅を超えるRLEカウントを持つ細工された.sgiファイルによってヒープバッファオーバーフローが発生し、クラッシュを引き起こします。この脆弱性は3.0.18.0および3.1.13.0で修正されています。

OpenImageIOは、VFXやアニメーションに関連するあらゆる画像ファイル形式の画像を読み書きおよび操作するためのツールセットです。バージョン3.0.18.0および3.1.13.0以前では、softimageinput.cppの469行目（混合RLE）および345行目（純RLE）で、ピクセルを書き込む前に走査線の残幅に対してランレングスの制限が行われていませんでした。生パケット経路（403行目）ではstd::minを使用して正しく制限されていますが、RLE経路ではこのチェックが省略されていました。細工された.picファイルにより最大65535バイトのヒープオーバーフローが発生します。この脆弱性はバージョン3.0.18.0および3.1.13.0で修正されています。

OpenImageIOは、VFXやアニメーションに関連するあらゆる画像ファイル形式の画像ファイルを読み書きおよび操作するためのツールセットです。バージョン3.0.18.0および3.1.13.0より前のjpeg2000input.cppの395行目では、バッファサイズをconst int bufsize = w * h * ch * buffer_bppとして符号付き32ビット算術で計算しています。積がINT_MAXを超えると、結果が0または小さな値にラップアラウンドします。m_buf.resize()は十分に大きくないバッファを割り当てるため、以降のピクセル書き込みループでヒープオーバーフローが発生します。これはUSE_OPENJPHビルドフラグに依存する脆弱性です。この脆弱性はバージョン3.0.18.0および3.1.13.0で修正されています。

OpenImageIOは、VFXやアニメーションに関連するあらゆる画像ファイル形式の読み込み、書き込み、および操作を行うためのツールセットです。バージョン3.0.18.0および3.1.13.0より前のバージョンでは、OpenImageIOのHEIFデコーダーにおけるヒープベースのバッファオーバーフローにより、サブイメージのメタデータの不一致を介して悪意のある画像が境界外書き込みを引き起こし、メモリ破損や潜在的なコード実行を招く可能性がありました。この脆弱性はバージョン3.0.18.0および3.1.13.0で修正されています。

OpenImageIOは、VFXやアニメーションに関連するあらゆる画像ファイル形式の画像を読み書きおよび操作するためのツールセットです。バージョン3.0.18.0および3.1.13.0より前のバージョンには、DPXColorConverter.cpp内のQueryRGBBufferSizeInternal()関数に符号付き整数オーバーフローの脆弱性が存在します。細工されたDPX画像ファイルを処理するとヒープベースの境界外書き込みが発生します。この関数は32ビット符号付き整数算術を使用してバッファサイズを計算しますが、負の乗数（例えば、kCbYCrディスクリプタの場合はピクセル数 * -3 * バイト数、kABGRディスクリプタの場合はピクセル数 * -4 * バイト数）が含まれています。負の結果は別のバッファが不要であることを示すインバンドシグナルとして使われています。ピクセル数が十分に大きい場合、乗算はINT_MINをオーバーフローし、小さな正の値に巻き戻ります。dpxinput.cpp内の呼び出し元はこの正の値を必要なバッファサイズとして解釈し、m_decodebuf.resize()を介して過小割り当てされたヒープバッファを確保します。その後、freadを介して完全な画像データを書き込むため、ヒープバッファオーバーフローが発生します。攻撃者は細工されたDPXファイルを作成してこのオーバーフローを引き起こすことで、サービス拒否（クラッシュ）を引き起こしたり、OpenImageIOを使用してピクセルデータを読み込む任意のアプリケーションにおいてヒープ破損を介した任意のコード実行を潜在的に行ったりすることが可能です。この脆弱性は3.0.18.0および3.1.13.0で修正されています。

OpenImageIOは、VFX／アニメーションに関連するあらゆる画像ファイル形式の画像ファイルの読み書きおよび操作を行うツールセットです。バージョン3.0.18.0および3.1.13.0より前のバージョンでは、ConvertCbYCrYToRGB()内のピクセルループのインデックス式i * 3における符号付き32ビット整数のオーバーフローによって関数が出力バッファに対して大きな負のポインタオフセットを計算し、範囲外の書き込みが発生してプロセスがクラッシュする脆弱性が存在していました。この脆弱性はバージョン3.0.18.0および3.1.13.0で修正されています。

OpenImageIOは、VFXやアニメーションに関連するあらゆる画像ファイル形式の画像ファイルを読み書きおよび操作するためのツールセットです。バージョン3.0.18.0および3.1.13.0より前のバージョンでは、SwapRGBABytes()内のループインデックス式 i * 4 における符号付き32ビット整数のオーバーフローにより、大きな寸法を持つkABGR DPX画像を処理するときに関数が大きな負のポインタオフセットを計算してしまいます。直ちに発生するクラッシュは境界外読み取り（最初に45行目のmemcpyが &input[i * 4] から読み取る）となりますが、続く46〜49行目の書き込み操作は同じオーバーフローしたオフセットを対象としているため、境界外読み取りおよび書き込みの複合プリミティブとなります。この脆弱性はバージョン3.0.18.0および3.1.13.0で修正されています。

Ivanti Virtual Traffic Managerのバージョン22.9r4以前にはOSコマンドインジェクションの脆弱性が存在し、管理者権限を持つリモート認証済みの攻撃者がリモートコードを実行できる可能性があります。

Bitwarden Server v2026.4.1 未満のバージョンでは、組織のSCIM APIキーを取得またはローテーションする際にマスターパスワードの再認証を要求しません。そのため、SCIM管理権限を持つ認証済みユーザーは、有効なセッションのみを使ってキーを取得できてしまいます。

富士通Japan株式会社が提供するMusetheque V4 情報公開 for IPKNOWLEDGEには、次の複数の脆弱性が存在します。 ・クロスサイトスクリプティング（CWE-79）- CVE-2026-24662 ・クロスサイトリクエストフォージェリ（CWE-352）- CVE-2026-28761 この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方がIPAに報告し、JPCERT/CCが開発者との調整を行いました。 報告者：GMOサイバーセキュリティbyイエラエ株式会社 飯村望 氏、小田切祥 氏

この問題は、メモリ管理の改善によって対処されました。この問題はiOS 18.7.9およびiPadOS 18.7.9、iOS 26.5およびiPadOS 26.5、macOS Sequoia 15.7.7、macOS Tahoe 26.5、tvOS 26.5、visionOS 26.5で修正されています。悪意を持って細工された画像を処理すると、プロセスメモリが破損する可能性があります。

この問題は改善されたチェックによって対処されました。この問題はiOS 18.7.9およびiPadOS 18.7.9、macOS Sequoia 15.7.7、macOS Tahoe 26.5で修正されています。悪意のある細工が施されたファイルを処理すると、サービス拒否（DoS）を引き起こす可能性があり、メモリ内容が開示される可能性もあります。

メモリ管理の改善により、Use-After-Freeの問題が修正されました。この問題はSafari 26.5、iOS 26.5、iPadOS 26.5、macOS Tahoe 26.5、tvOS 26.5、visionOS 26.5、およびwatchOS 26.5で修正されています。悪意のある細工が施されたウェブコンテンツを処理すると、Safariが予期せずクラッシュする可能性があります。

整数のオーバーフローは、入力検証の改善によって対処されました。この問題はiOS 18.7.9およびiPadOS 18.7.9、macOS Sequoia 15.7.7、macOS Sonoma 14.8.7、macOS Tahoe 26.5で修正されています。この問題により、アプリが予期しないシステムの終了を引き起こす可能性があります。

この問題はメモリ処理の改善によって対処されました。この問題はSafari 26.5、iOS 18.7.9およびiPadOS 18.7.9、iOS 26.5およびiPadOS 26.5、macOS Tahoe 26.5、tvOS 26.5、visionOS 26.5、watchOS 26.5で修正されています。悪意を持って作成されたWebコンテンツを処理すると、予期しないプロセスクラッシュが発生する可能性があります。