脆弱性情報（JVN）検索・一覧

Spring AIのMilvusVectorStore#doDelete(List)の実装には、サニタイズされていないドキュメントIDを通じたフィルター式インジェクションの脆弱性があります。Spring AI 1.0.xでは、バージョン1.0.0から最新の1.0.xまでが影響を受けており、1.0.7以上へのアップグレードを推奨します。Spring AI 1.1.xでは、バージョン1.1.0から最新の1.1.xまでが影響を受けており、1.1.6以上へのアップグレードを推奨します。

Spring AIのチャットメモリコンポーネントには、明示的に上書きされない場合にユーザー間で意図しないデータ漏洩を引き起こす可能性がある問題のあるデフォルト設定が含まれていました。

悪意のあるユーザーは、会話メモリに保存され、その後モデルによって意図しない方法で解釈される入力を作成する可能性があります。ユーザーが制御する入力を使用する影響を受けるアドバイザーを利用するアプリケーションは、会話のターンを越えてモデルの動作が操作されることに対して脆弱である可能性があります。

GravはファイルベースのWebプラットフォームです。2.0.0-beta.2より前のバージョンでは、Grav管理パネルにビジネスロジックの脆弱性が存在し、低権限ユーザー（ユーザー作成の権限のみを持つ）が既存のアカウント、特に主要な管理者アカウントを上書きすることが可能でした。既に存在するユーザー名で新しいユーザーを作成すると、システムはリクエストを拒否する代わりに既存アカウントのメタデータと権限を更新してしまいます。これにより管理機能のサービス拒否（DoS）やルートアカウントの権限低減が引き起こされます。この脆弱性は2.0.0-beta.2で修正されました。

GravはファイルベースのWebプラットフォームです。2.0.0-beta.2より前のバージョンでは、低権限ユーザー（ページ作成権限を持つ）がsvg要素の注入によってクロスサイトスクリプティング（XSS）を引き起こす可能性がありました。このXSSは、スーパ管理者がページを訪問した際に/admin/config/info以下のシステム情報全体をダンプさせるために権限が昇格される可能性があります。さらに、管理者用のnonceを利用することで完全なサーバー侵害（リモートコード実行：RCE）につながる恐れがあります。この脆弱性は2.0.0-beta.2で修正されました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。hwmon: (tps53679) ゼロ長ブロック読み取りによる配列アクセスの問題を修正しました。i2c_smbus_read_block_data()は0を返すことがあり、これはゼロ長の読み取りを示しています。この場合、tps53679_identify_chip()がbuf[ret - 1]にアクセスしますが、buf[-1]となり、スタック上のバッファの1バイト前を読み取ってしまいます。修正ではチェック条件を"ret 0"から"ret = 0"に変更し、ゼロ長の読み取りをエラー(-EIO)として扱うことで、境界外の配列アクセスを防止しています。また、隣接するコメントの誤字も修正し、「if present」の重複を取り除きました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。io_uring/rsrcでは、長さが0の固定バッファインポートを拒否します。validate_fixed_range()はlenが0の場合、登録された領域の正確な終端にbuf_addrを許可してしまいます。これは、チェックが厳密な大なり（buf_end imu-ubuf + imu-len）を使用しているためです。io_import_fixed()はその後、offset == imu-lenを計算し、これによりbvecスキップロジックが最後のbio_vecエントリを越えて進み、範囲外のスラブメモリからbv_offsetを読み取ってしまいます。lenが0の場合、io_import_fixed()は早期にリターンします。これは長さ0のインポートが転送するデータがなく、bvec配列を全く走査すべきでないためです。バグの内容は、KASANがio_import_reg_buf+0x697/0x7f0でスラブ範囲外読み取りを検出したことです。タスクpoc/103によってアドレスffff888002bcc254からサイズ4の読み取りが行われました。コールトレースは以下の通りです：io_import_reg_buf+0x697/0x7f0、io_write_fixed+0xd9/0x250、__io_issue_sqe+0xad/0x710、io_issue_sqe+0x7d/0x1100、io_submit_sqes+0x86a/0x23c0、__do_sys_io_uring_enter+0xa98/0x1590。タスク103によって割り当てられた領域の12バイト右側に問題のアドレスがあります。割り当てられた584バイトの領域は[ffff888002bcc000, ffff888002bcc248)です。

Linuxカーネルにおいて、RDMA/irdmaのrereg_user_mrに関連する二重解放の脆弱性が修正されました。IB_MR_REREG_TRANSがrereg_user_mrの実行中に設定されると、umemが解放され、新しいumemがirdma_rereg_mr_transで割り当てられますが、割り当て後のステップで失敗した際にiwmr-regionがNULLに設定されない問題が存在していました。このため、dereg_mr処理において非NULLのumemが検出され、二重解放が発生しました。この問題は、ib_umem_release後にiwmr-regionをNULLに設定することで修正されました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。BluetoothのL2CAPに関して、L2CAP_LE_CONN_REQに対するキーサイズのチェックが欠落していた問題を修正しました。この修正により、L2CAP_LE_CONN_REQ受信時に暗号化キーサイズのチェックが追加されます。このチェックはL2CAP/LE/CFC/BV-15-Cで要求されており、L2CAP_CR_LE_BAD_KEY_SIZEが返されることを想定しています。

Linuxカーネルにおいて、reset: gpioに関するsysfsのbind属性を抑制する脆弱性が修正されました。この属性は動的に作成される特別なデバイスに対して設定されており、永続的にメモリ上に存在する必要がありますが、実際のリセット制御用のdevlinkが存在していません。sysfsのbind属性を抑制することで、ユーザースペースによるunbind操作を防止し、reset制御ハンドルを扱うユーザーがunbindを行った際に発生するuse-after-freeによるクラッシュを防止しています。

Linuxカーネルにおいて、以下の脆弱性が修正されました：wifi: rtw89: pci: RTL8922DE用のリリースレポート内容を使用前に検証します。コミット957eda596c76（"wifi: rtw89: pci: TXリリースレポートのシーケンス番号を検証"）は、既存のチップに対して検証を行いますが、なぜかSKBのリリースレポートが不正な形式になることがあります。明確な原因は見つかっていないため、RTL8922DE用にクラッシュを回避するためのルールを事前に追加しました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。procfsのdo_procmap_query()関数でmmput()が二重に呼び出される可能性がありました。ユーザーがPROCMAP_QUERYのbuild IDに対して不正なサイズのバッファを提供すると、-ENAMETOOLONGエラーが返されます。最近の変更によって、この条件はmmap_lockおよびper-VMAロックを解除しmmput()を実行した後に発生するため、元のgoto outは誤っており、mm_structに対してmmput()が二重に呼び出されていました。修正では、vm_fileとname_bufのみをクリーンアップする位置へジャンプするように変更されました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。net: usb: kaweth: kaweth_set_rx_mode内のTXキュー操作の削除です。kaweth_set_rx_mode()はndo_set_rx_modeコールバックであり、netif_stop_queue()とnetif_wake_queue()を呼び出します。これらはRXマルチキャスト設定とは無関係なTXキューフロー制御関数です。早すぎるnetif_wake_queue()の呼び出しにより、tx_urbがまだ処理中にもかかわらずTXが再度有効化され、同じURBに対して二重のusb_submit_urb()が発生する可能性があります。具体的には、kaweth_start_xmit()ではnetif_stop_queue()とusb_submit_urb(kaweth-tx_urb)を呼び出し、kaweth_set_rx_mode()ではnetif_stop_queue()とnetif_wake_queue()（URB完了前にTXキューを起動）を実行します。これによりusb_submit_urb()で「URB submitted while active」という警告が発生します。この問題はrtl8150でも同様のタイプのバグが存在し、- commit 958baf5eaee3（"net: usb: Remove disruptive netif_wake_queue in rtl8150_set_multicast"）で修正されています。さらに、kaweth_set_rx_mode()はすでに機能的に破損しており、実際のset_rx_modeの処理はkaweth_async_set_rx_mode()によって行われ、これはndo_open()時のみに有効です。

Linuxカーネルのnet: wan: farsyncドライバにはuse-after-freeの脆弱性が存在し、カードの取り外し時に未完了のタスクリストが解放済みのメモリにアクセスすることで発生します。この脆弱性によりカーネルの動作が不安定になる可能性があります。修正によりカードの解放処理が適切に管理され、use-after-freeの問題が防止されました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。netfilter: nf_conntrack_h323のdecode_choice()関数内で発生していた範囲外読み取り（OOB読み取り）の問題です。decode_choice()関数では、get_len()の前の境界チェックで、関数冒頭で初期化されたままの変数`len`（値は0）を使用していました。具体的には、unsigned int type, ext, len = 0; ... if (ext || (son-attr & OPEN)) {BYTE_ALIGN(bs); if (nf_h323_error_boundary(bs, len, 0)) /* ここでlenは0 */ return H323_ERROR_BOUND; len = get_len(bs); /* OOB読み取り */}ビットストリームがちょうど消費され（bs-cur == bs-end）た場合、nf_h323_error_boundary(bs, 0, 0)の判定は(bs-cur + 0 bs-end)となり、falseになります。これにより、その後のget_len()呼び出しは*bs-cur++を逆参照し、バッファの終端を1バイト越えて読み取ってしまいます。もし読み取ったバイトのビット7がセットされている場合、get_len()はさらに2バイト目も読み取ります。この問題は、nf_conntrack_h323ヘルパーが有効なファイアウォールを介して、PERエンコードされた2バイト（{0x08, 0x00}）のUser-User Information Elementを含む細工されたQ.931 SETUPメッセージをポート1720に送信することでリモートから引き起こすことができます。デコーダはPERバッファを完全に消費した後にこのコードパスに達するため、1から2バイトのヒープバッファオーバーフロー読み取りが発生し、AddressSanitizerによって検出されました。この問題は、初期化されていない`len`の代わりにget_len()が読み取る可能性のある最大2バイトをチェックすることで修正されました。この修正は、同じファイルの他のget_len()呼び出し箇所で用いられている、呼び出し前に利用可能なデータが2バイト以上あることを確認するパターンと一致しています。

Linuxカーネルのdrm/atmel-hlcdcに存在する脆弱性は、drm_crtc_commit解放後のUse-After-Freeを引き起こしていました。この問題は、atmel_hlcdc_plane_atomic_duplicate_state()コールバックがdrm_plane_stateを正しく複製せず、古いcommit状態を参照し続けていたことに起因していました。修正により、__drm_atomic_helper_duplicate_plane_state()を使用して状態を適切に複製するように変更されました。この脆弱性は、別のDRMクライアントが接続中にデバイスノードを閉じて再オープンした場合に発生する可能性があります。

Linuxカーネルのamdgpuドライバに存在する脆弱性は、amdgpu_gem_va_ioctl関数のフェンス同期管理の不具合に起因しています。不適切なフェンス参照の扱いからuse-after-freeが発生し、GPUタイムラインの更新時にカーネルクラッシュやカーネルパニックを引き起こす可能性がありました。本修正により、フェンスの参照管理を適切に行い、参照カウントのアンダーフローを防止しました。また、タイムラインとフェンスの同期処理も改善しています。これにより、関連するカーネルパニックや割り込み時の致命的例外の発生を防止しています。

Linuxカーネルにおいて、以下の脆弱性が修正されました：smbクライアントの-query_interfaces()関数における競合状態を防止できるようになりました。2つのクエリインターフェース処理が同時にインターフェースの更新を試みる可能性がありましたが、iface_lockの下でiface_last_updateを確認および更新することでこれを防止しています。

Linuxカーネルにおいて、以下の脆弱性が修正されました：usb: chipidea: udc: _ep_nuke()内のDMAおよびSGクリーンアップの修正です。ChipIdea UDCドライバは、アクティブな転送中に切断されたUSBデバイスが再接続された際に「ページアラインされていないsgバッファ」エラーが発生する可能性があります。これは_ep_nuke()がDMAバッファのマッピング解除やscatter-gatherバウンスバッファのクリーンアップを適切に行わずにリクエストをガジェットレイヤに返すために起こります。根本原因は、マルチセグメントDMA転送中に切断が発生すると、リクエストのnum_mapped_sgsフィールドおよびsgt.sglポインタが古い値のまま残ることです。リクエストは-ESHUTDOWN状態でガジェットドライバへ返されますが、DMA状態は依然としてアクティブな状態です。もしガジェットドライバが再初期化せずに接続再開時にこのリクエストを再利用すると、古いDMA状態により_hardware_enqueue()はDMAマッピングをスキップし（num_mapped_sgsが0でないため）、解放済みまたは無効なDMAアドレスを使用しようとしてアラインメントエラーやメモリ破壊が生じる可能性があります。正常な完了パスである_hardware_dequeue()は、リクエストを返す前にusb_gadget_unmap_request_by_dev()およびsglist_do_debounce()を適切に呼び出します。_ep_nuke()パスも同様のクリーンアップを行い、リクエストをクリーンで再利用可能な状態で返す必要があります。修正内容としては、_ep_nuke()にDMAマッピング解除およびバウンスバッファのクリーンアップを追加し、_hardware_dequeue()のクリーンアップシーケンスを反映しました。具体的には、num_mapped_sgsが設定されている場合はusb_gadget_unmap_request_by_dev()を呼び出し、バウンスバッファが存在する場合はcopy=falseでsglist_do_debounce()を呼び出します。これにより、エンドポイントシャットダウンによりリクエストが返される際に古いDMAマッピングが残らないことが保証されます。また、sglist_do_debounce()へのfalseパラメータは、転送が中断されたシャットダウンパスに適したデータコピーを防ぐ役割を果たします。

検証の問題は改善されたロジックによって対処されました。この問題はiOS 18.7.9およびiPadOS 18.7.9、iOS 26.5およびiPadOS 26.5、macOS Tahoe 26.5、tvOS 26.5、visionOS 26.5、watchOS 26.5で修正されています。悪意のある細工が施されたウェブコンテンツを処理することで、コンテンツセキュリティポリシーの適用が妨げられる可能性があります。

バッファオーバーフローの問題はメモリ管理の改善により対処されました。この問題はiOS 26.5およびiPadOS 26.5、macOS Tahoe 26.5、tvOS 26.5、watchOS 26.5で修正されています。悪意のある細工が施された画像を処理すると、プロセスメモリが破損する可能性があります。

JetBrains TeamCity 2026.1より前のバージョンには、2025年11月5日に認証済みユーザーがサーバーAPIに不正にアクセスできる脆弱性が存在していました。

TeamT5によって開発されたThreatSonarアンチランサムウェアには、任意のファイルを削除されてしまう脆弱性があります。認証されたリモート攻撃者はウェブアクセスを介してパストラバーサルを悪用し、システム上の任意のファイルを削除することが可能です。

TeamT5によって開発されたThreatSonar Anti-Ransomwareには、特権昇格の脆弱性があります。認証済みのリモート攻撃者がシェルアクセス権を持つ場合、OSコマンドを注入してルート権限で実行できます。

PaperCut MFの特定のHP多機能デバイスからのバッジスワイプデータ処理時に競合状態が存在します。パケットのドロップおよび順序が乱れたシーケンスカウンタを含む特定のネットワーク条件下で、サーバーは断片化されたデータチャンクを誤って処理する可能性があります。シーケンスリセット通知がサーバーに到達しない場合、サーバーは最初のデータチャンクを拒否しつつ、接続リセット完了前にその後のチャンクを誤って受け入れることがあります。これにより、切り詰められたバッジID文字列が登録されます。通常は認証に失敗しますが、カスタムバッジID後処理スクリプトを使用する環境では、この切り詰められた文字列が異なるユーザーの有効なIDに変換され、不正なセッションが確立され（誤ったユーザーログインが発生し）やすくなります。

PHPのバージョン8.2.*の8.2.31未満、8.3.*の8.3.31未満、8.4.*の8.4.21未満、および8.5.*の8.5.6未満において、urldecode()を含むいくつかの関数は符号付きcharをctype関数（例えばisxdigit()）に渡します。デフォルトで符号付きcharを使用し、最適化されたテーブルルックアップctype関数を持つシステム（NetBSDなど）では、これにより負のオフセットの配列アクセスが発生し、サービス拒否（DoS）を引き起こす可能性があります。

PHPのバージョン8.2.*の8.2.31未満、8.3.*の8.3.31未満、8.4.*の8.4.21未満、および8.5.*の8.5.6未満において、SOAPサーバーにtypemapが設定されている場合、デコード処理に誤りがあり、値要素が存在しない場合に誤った変数をチェックしてしまいます。これによりNULLポインタの参照が発生し、セグメンテーションフォルトが引き起こされます。その結果、リモートの認証されていない攻撃者がPHPのSOAPサーバープロセスをクラッシュさせ、サービス拒否を引き起こす可能性があります。

PHPのバージョン8.4.*の8.4.21未満および8.5.*の8.5.6未満において、DOMNode::C14N()メソッドがXMLデータを誤って処理する可能性があり、XMLドキュメントを表すデータ構造内で循環参照リンクリストが生成されます。これによりXMLドキュメントの後続処理が無限ループに入り、処理アプリケーションでサービス拒否が発生する可能性があります。

22.8R6より前のIvanti Secure Access Clientにはレースコンディションがあり、ローカルで認証されたユーザーがSYSTEM権限に昇格できる可能性があります。

Sunnetが開発したCTMSにはSQLインジェクションの脆弱性があり、認証されたリモート攻撃者が任意のSQLコマンドを注入してデータベースの内容を読み取り、変更および削除できます。

PHPのバージョン8.2.*の8.2.31未満、8.3.*の8.3.31未満、8.4.*の8.4.21未満、および8.5.*の8.5.6未満において、ext/standard/metaphone.cのmetaphone()関数は、入力文字列内の現在位置を追跡するために符号付きint変数を使用しています。2,147,483,647バイトを超える文字列が渡されると、符号付き整数のオーバーフローが発生し、未定義の動作を引き起こします。これにより境界外読み取りが発生し、セグメンテーションフォルトや関連のないメモリへのアクセスが生じて、PHPプロセスの可用性に影響を及ぼす可能性があります。

Ivanti Endpoint Managerのエージェント（バージョン2024 SU6より前）における不適切な権限割り当てにより、ローカルの認証済み攻撃者が権限を昇格させることが可能となります。

Ivanti Endpoint Managerのバージョン2024 SU6以前のWebコンソールにおけるSQLインジェクションの脆弱性により、リモートの認証済み攻撃者がリモートコードを実行できる可能性があります。

Open5GSのバージョン2.7.7までに脆弱性が発見されました。影響を受けるのはコンポーネントsm-policiesのエンドポイントにあるファイルsrc/pcf/nbsf-handler.cの関数pcf_nbsf_management_handle_registerです。この操作によりサービス拒否（DoS）が発生する可能性があります。攻撃はリモートから実行される可能性があります。この脆弱性は悪用方法が公開されており、利用される恐れがあります。プロジェクトは問題を早期に問題報告を通じて通知しましたが、まだ対応していません。

Open5GSのバージョン2.7.7までに脆弱性が確認されています。この問題は、コンポーネントPCFのファイル/src/pcf/context.c内の関数pcf_sess_set_ipv6prefixに影響します。引数SmPolicyContextData.ipv6AddressPrefixを操作することでサービス拒否（DoS）を引き起こす可能性があります。この攻撃はリモートから実行できます。エクスプロイトは公開されており、悪用される可能性があります。ベンダーにはこの公開に関して早期に連絡がありましたが、対応は行われませんでした。

Open5GS 2.7.7 までに脆弱性が確認されました。この脆弱性は、コンポーネント delete Endpoint のファイル src/pcf/sm-sm.c 内の関数 pcf_npcf_smpolicycontrol_handle_delete に影響します。この操作によりサービス拒否（DoS）状態を引き起こす可能性があります。攻撃はリモートで開始可能です。エクスプロイトは公開されており、悪用される可能性があります。プロジェクト側には問題が早期に報告されましたが、まだ対応されていません。

Open5GSのバージョン2.7.7までにセキュリティ上の脆弱性が発見されました。この脆弱性は、ライブラリ/lib/proto/types.c内の関数ogs_pcc_rule_install_flow_from_mediaに影響を与えます。この操作によりサービス拒否（DoS）が発生します。攻撃はリモートから実行可能です。エクスプロイトは既に公開されており、攻撃に悪用される可能性があります。この問題は早期に問題報告を通じてプロジェクトに通知されましたが、まだ対応されていません。

Wavlink NU516U1 240425に脆弱性が検出されました。影響を受ける要素はファイル/cgi-bin/wireless.cgiのWifiBasic関数です。引数AuthMethodおよびEncrypTypeの操作によりOSコマンドインジェクションが発生します。この脆弱性はリモートから攻撃される可能性があります。エクスプロイトはすでに公開されており、悪用される恐れがあります。ベンダーには本公開に関して早期に連絡済みです。

Wavlink NU516U1 240425に脆弱性が発見されました。影響を受ける箇所はファイル/cgi-bin/login.cgiの関数sys_login1です。引数ipaddrの操作によりOSコマンドインジェクションが発生する可能性があります。この攻撃はリモートで実行可能です。エクスプロイトが公開されており、悪用される恐れがあります。ベンダーにはこの開示について早期に連絡済みです。

D-Link DCS-935L バージョン 1.10.01 までに脆弱性が発見されました。影響を受けるのは、コンポーネント HNAP Service の /web/cgi-bin/hnap/hnap_service ファイル内の SetDeviceSettings 関数です。引数 AdminPassword の操作によりバッファオーバーフローが発生します。この攻撃はリモートで実行可能です。エクスプロイトが公開されており、悪用される可能性があります。