脆弱性情報（JVN）検索・一覧

D-Link DIR-816 1.10CNB05_R1B011D88210に脆弱性が特定されました。この脆弱性は/goform/formDMZ.cgiファイル内の関数sub_445E7Cに影響を及ぼします。この操作によりコマンドインジェクションが発生します。攻撃はリモートで開始可能です。エクスプロイトは公開されており、攻撃に悪用される可能性があります。

D-Link DIR-816 1.10CNB05_R1B011D88210にセキュリティ脆弱性が検出されました。この問題が影響を及ぼすのは、ファイル/goform/singlePortForward内の関数sub_445E7Cです。引数ip_addressの操作によりコマンドインジェクションが発生します。この攻撃はリモートから実行可能です。エクスプロイトは公開されており、悪用される可能性があります。

D-Link DIR-816 1.10CNB05_R1B011D88210に脆弱性が検出されました。この脆弱性はportForward関数に影響を与えます。ip_address引数の操作によりコマンドインジェクションが発生します。この攻撃はリモートで実行可能です。エクスプロイトは既に公開されており、悪用される可能性があります。

guardsix（旧Logpoint）ODBC Enrichment Pluginsのバージョン5.2.1以前（guardsix 7.9.0.0で使用されている5.2.1）に問題が発見されました。論理的な欠陥により、対象のホスト、IPアドレス、またはポートが変更された後でも、保存されたデータベースの資格情報が再利用されてしまう可能性がありました。既存のEnrichment Sourceを編集する際、接続エンドポイントが変更されても、以前に保存された資格情報が保持されていました。認証済みのオペレータユーザーは、データベース接続を意図しない内部システムにリダイレクトでき、その結果、SSRF（サーバーサイドリクエストフォージェリ）や有効な保存資格情報の悪用が発生する可能性があります。

D-Link DCS-932L v2.18.01 は /bin/alphapd ファイルの関数 sub_42EF14 においてコマンドインジェクションの脆弱性が存在します。引数 LightSensorControl の操作によってコマンドインジェクションが発生します。

fohrloop dash-uploader バージョン0.1.0から0.7.0a2にかけての問題により、リモート攻撃者が dash_uploader/httprequesthandler.py、dash_uploader/upload.py の Upload 関数および max_file_size パラメータ、dash_uploader/configure_upload.py コンポーネントを介して任意のコードを実行できる可能性があります。

Perl用のCryptXの0.088以前のバージョンでは、フォーク後にCrypt::PKのPRNG状態を再シードしません。Crypt::PK::RSA、Crypt::PK::DSA、Crypt::PK::DH、Crypt::PK::ECC、Crypt::PK::Ed25519、Crypt::PK::X25519モジュールは、コンストラクタでオブジェクトごとのPRNG状態にシードを設定し、フォーク検出なしにそれを再利用します。`fork()`の前に作成されたCrypt::PK::*オブジェクトは、すべての子プロセスとバイト単位で同一のPRNG状態を共有し、それらが実行するランダム化処理は鍵生成を含めて同一の出力を生成する可能性があります。異なるプロセスからの2つのECDSAまたはDSA署名があれば、ノンスの再利用により鍵秘密鍵を回復できます。この問題は、スタートアップ時にCrypt::PK::*オブジェクトがロードされ、すべてのワーカープロセスに継承されるStarmanウェブサーバーのようなプリフォークサービスに影響します。

Notepad Nextは、Notepad++のクロスプラットフォームでの再実装です。バージョン0.14以前では、NotepadNextのdetectLanguageFromExtension()関数がファイルの拡張子をサニタイズせずにLuaスクリプトに直接埋め込んでいました。攻撃者はLuaコードを含む拡張子を持つファイル名を作成でき、被害者がNotepadNextでそのファイルを開くと自動的にコードが実行されます。luaL_openlibs()が無条件に呼び出されるため、注入されたコードはos、io、packageの完全なライブラリにアクセスでき、任意のコマンドを実行可能です。この問題はバージョン0.14で修正されました。

PromptHubは、プロンプト、スキル、およびエージェント管理のためのオールインワンAIツールボックスです。バージョン0.4.9からバージョン0.5.4未満の間、apps/web/src/routes/skills.tsは認証済みのエンドポイントPOST /api/skills/fetch-remoteを公開しており、そこではユーザーが指定したURLをサーバーサイドで取得し、そのレスポンスボディ（最大5MB）を呼び出し元に返します。apps/web/src/utils/remote-http.ts内のSSRF保護機能(isPrivateIPv6)はプライベートおよびループバック宛先へのアクセスをブロックしようとしますが、複数の異なる有効なIPv6表記がこのチェックを回避します。これらの回避により、IPv4マッピングされたIPv6の16進数形式を介して任意のIPv4アドレス（ループバック、RFC1918、リンクローカル）および文字通りの文字列 "::1" 以外の任意の表現を使用して標準的な::1アドレスに到達できます。認証済みユーザー（userまたはadminロール）は誰でもこのSSRFを引き起こすことが可能です。ALLOW_REGISTRATION=trueに設定された展開環境（サポートおよびドキュメント化された設定）では、登録できるインターネットユーザー全員が対象となります。この問題はバージョン0.5.4で修正されました。

fast-uriはnormalize()およびequal()関数において、ドットセグメントの除去を適用する前にパーセントエンコードされたパス区切り文字およびドットセグメントをデコードしていました。エンコードされたパスデータが実際のスラッシュや親ディレクトリ参照として扱われたため、異なるURIが同じ正規化されたパスに変換される可能性がありました。攻撃者が制御するURLを正規化または比較してパスベースのポリシーを適用するアプリケーションは、許可されたプレフィックスの下に制限されているように見えるパスが異なる場所に正規化されることで回避される可能性があります。本問題はバージョン3.1.0以前に影響を与えます。3.1.1以降に更新することを推奨します。

fast-uri の normalize() は、ホストコンポーネント内のパーセントエンコードされた権限区切り文字をデコードし、その後シリアライズ時にこれらを生の区切り文字として再出力していました。許可されたドメインとエンコードされたアットマーク、および異なるドメインを組み合わせたホストでは、アットマークが生のユーザー情報区切り文字として再出力され、URI の権限が第二のドメインに変更されました。信頼されていない URL を正規化した後にホストの許可リスト確認やリダイレクト検証、または送信先リクエストルーティングを行うアプリケーションは、入力が指定した権限とは異なる権限に誘導される可能性があります。バージョン 3.1.1 以下が影響を受けます。3.1.2 以降にアップデートしてください。

Bytelloが提供するBytello Shareは大型ディスプレイ向けの画面ミラーリングツールです。Bytello ShareのEXE形式インストーラにはDLLを読み込む際の検索パスに問題があり、同一ディレクトリに存在する特定のDLLを読み込んでしまう可能性があります。 ・ファイル検索パスの制御不備（CWE-427）- CVE-2026-44612 この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方がIPAに報告し、JPCERT/CCが開発者との調整を行いました。 報告者：GMOサイバーセキュリティ byイエラエ株式会社 松本 一真 氏

Postfixのバージョン3.8.16以前、3.9の3.9.10以前、および3.10の3.10.9以前には、3番目の数字の後にテキストが欠けている拡張ステータスコードを介して、バッファのオーバーリードとプロセスクラッシュが引き起こされる問題があります。

低権限のリモート攻撃者が、保存または転送前に機密情報が適切に削除されないため、ルートパスワードを取得する可能性があります。

Delta Electronics AS320T は、文書化されていないサブ機能の脆弱性によりサービス拒否が発生します。

V2Boardのバージョン1.7.4までのUniProxyController.php（app/Http/Controllers/Server/UniProxyController.php）に、GETパラメータ経由でサーバートークンが露出する脆弱性があります。サーバー認証トークンはGETパラメータとして受け入れられ、/api/v1/server/UniProxy/user?token=SECRET のようなURLにトークンが含まれます。そのため、ウェブサーバーのアクセスログ、ブラウザ履歴、HTTPリファラヘッダ、プロキシ/CDNのログに記録されます。ログ情報にアクセス可能な攻撃者は、このトークンを抽出してプロキシサーバーノードになりすまし、すべてのユーザートラフィックを傍受する可能性があります。

Windows上のWatchGuardエージェントのパッチ管理コンポーネントにおいて、リソースに誤った権限が割り当てられているため、認証されたローカルユーザーが権限をNT AUTHORITY\SYSTEMまで昇格させることが可能です。

IBM Langflow Desktop 1.0.0 から 1.8.4 までのバージョンにおいて、Langflow はユーザーが制御するキーを介した間接的なオブジェクト参照を通じて、認証されていないユーザーが他のユーザーの画像を閲覧できる可能性があります。

IBM Langflow Desktop 1.0.0から1.8.4までのLangflowには、攻撃者がLangflowを実行しているプロセスの権限で任意のコマンドを実行できる脆弱性があります。この脆弱性により、機密環境変数（APIキー、DB認証情報）を読み取ったり、ファイルを変更したり、内部ネットワークに対してさらなる攻撃を実行したりすることが可能です。

Windows上のWatchGuard Agentにおけるハードコードされた暗号鍵の使用により、既存のプロセスにコードを組み込むことが可能になる脆弱性です。この問題はWatchGuard Agentのバージョン1.25.03.0000より前に影響します。

Windows版WatchGuard Agentには制御されていない検索パス要素の脆弱性があり、悪意のあるファイルを使用される可能性があります。この問題はWatchGuard Agentのバージョン1.25.03.0000より前のバージョンに影響します。

Cryptoboxの外部共有機能に脆弱性が存在し、共有リンクのURLを知っている攻撃者がサーバーから情報を取得できるようになります。この攻撃者は、その共有リンクに関連付けられたアクセスコードに対してオフラインブルートフォース攻撃を行うことが可能です。

IMSでは、不適切な入力検証によりシステムがクラッシュする可能性があります。これにより、追加の実行権限を必要とせずにリモートでサービス拒否攻撃を引き起こすことがあります。

Modem IMSにおいて、不適切な入力検証が存在する可能性があります。これにより、追加の実行権限を必要とすることなくリモートでサービス拒否を引き起こすことができます。

Linuxカーネルにおいて、drm/amdgpuのユーザーキュー作成時にdoorbell_offsetの検証が不十分であった問題が修正されました。amdgpu_userq_get_doorbell_index()関数はユーザーから提供されたdoorbell_offsetを境界チェックなしにamdgpu_doorbell_index_on_bar()に渡しており、その結果、任意の大きさのdoorbell_offsetによってdoorbellインデックスが割り当て範囲外に入り込み、カーネルのdoorbell空間が破損する可能性がありました。これを防ぐため、BARインデックスを計算する前にdoorbell_offsetがdoorbell BOの範囲内であることを検証し、u64算術を使用してオーバーフローを防止しています。この対策により安全性が向上しました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。iio: adc: ti-adc161s626では、spi_read()でDMAセーフなメモリを使用するように変更されました。DMAセーフなバッファを追加し、spi_read()ではスタックメモリの代わりにそのバッファを使用します。すべてのSPIバッファはDMAセーフである必要があります。必要なデータが3バイトまでであるため、__be16や__be32の代わりにu8[]を使用し、それに応じて変換関数も変更しました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。gpibのIO ioctlハンドラに存在したuse-after-freeの問題です。IBRD、IBWRT、IBCMD、およびIBWAIT ioctlハンドラは、board-big_gpib_mutexが解放された後にgpib_descriptorポインタを使用していました。この間に、IBCLOSEDEV ioctlがclose_dev_ioctl()を通じてディスクリプタを解放する可能性があり、use-after-freeが発生していました。IOハンドラ（read_ioctl、write_ioctl、command_ioctl）は、ハンドラを呼び出す前に明示的にbig_gpib_mutexを解放します。wait_ioctl()はbig_gpib_mutexを保持したまま呼び出されますが、ibwait()はwait_maskが0以外の場合に内部でmutexを解放します。これら四つのケースすべてで、handle_to_descriptor()から得たディスクリプタポインタは保護されていませんでした。これを修正するために、struct gpib_descriptorにカーネル専用のdescriptor_busy参照カウントを導入しました。各ハンドラはfile_priv-descriptors_mutexの下でatomicにdescriptor_busyをインクリメントし、ロックを解放した後に処理を行い、処理完了後にそれをデクリメントします。close_dev_ioctl()は同じロック下でdescriptor_busyをチェックし、参照カウントが0でない場合は-EBUSYでクローズを拒否します。複数のハンドラが同じディスクリプタに同時に操作する可能性があるため（例：異なるスレッドからの同一ハンドルに対するIBRDとIBWAIT）、単純なフラグではなく参照カウントが必要です。io_in_progressはIBWAIT ioctl（set_maskにCMPLを含むgeneral_ibstatus()経由）で特権のないユーザースペースからクリア可能であるため、これに基づくチェックだけでは回避される可能性があります。新しいdescriptor_busyカウンタはカーネルIOパスのみで操作されます。ロックの順序は一貫しており（big_gpib_mutex - descriptors_mutex）、ハンドラは検索時のみ短時間descriptors_mutexを保持するため、デッドロックのリスクはなく、IOスループットに影響を与えません。

Linuxカーネルにおいて、以下の脆弱性が修正されました。Bluetoothのhci_eventに関して、ウェイク理由の格納を検証済みイベントハンドラ内へ移動しました。hci_store_wake_reason()はHCIイベントヘッダの除去直後にhci_event_packet()から呼び出されますが、hci_event_func()がhci_ev_tableに基づくイベントごとの最小ペイロード長を強制する前に呼ばれます。このため、短いHCIイベントフレームが境界チェック前にbacpy()へ到達する可能性がありました。skb解析やイベントごとの長さチェックをhci_store_wake_reason()内で重複して行う代わりに、既存のイベント長検証後に各イベントハンドラ内でウェイクアドレスの格納を行うように変更しました。hci_store_wake_reason()は、hci_dev_lock()を保持している呼び出し側から既に検証済みのbdaddrを格納するだけの小さなヘルパー関数に変換しています。また、検証済みイベントハンドラがウェイクアドレスを記録しなかった場合の既存の予期しないウェイクのフォールバック動作を維持するために、hci_event_func()後にNULLアドレスで同じヘルパーを使用します。ヘルパー関数には__must_hold(&hdev-lock)注釈を付け、将来的な呼び出しパスでロック契約が明示されるようlockdep_assert_held(&hdev-lock)を追加しています。hci_conn_request_evt()、hci_conn_complete_evt()、hci_sync_conn_complete_evt()、le_conn_complete_evt()、hci_le_adv_report_evt()、hci_le_ext_adv_report_evt()、hci_le_direct_adv_report_evt()、hci_le_pa_sync_established_evt()、およびhci_le_past_received_evt()からこのヘルパーを呼び出します。

Linuxカーネルにおいて、以下の脆弱性が修正されました。Bluetoothのhci_syncサブシステムにあるhci_le_big_create_sync関数内のスタックバッファオーバーフローの問題です。hci_le_big_create_sync()関数は、DEFINE_FLEXを使用してスタック上に0x11（17）個分のBISエントリを格納するstruct hci_cp_le_big_create_syncを割り当てています。しかし、conn-num_bisは最大HCI_MAX_ISO_BIS（31）個のエントリを保持可能であり、呼び出し元のhci_conn_big_create_sync()関数ではISO_MAX_NUM_BIS（0x1f）と照合されています。conn-num_bisが18から31の間の場合、conn-bisをcp-bisにコピーするmemcpyは、スタックバッファを最大14バイトも越えて書き込み、隣接するスタックメモリを破損します。この問題は簡単に再現可能であり、ISOソケットをbc_num_bis = ISO_MAX_NUM_BIS（31）でバインドし、listen()関数を呼び出すと、最終的にHCIコマンド同期ワーカーからhci_le_big_create_sync()がトリガーされ、KASANによって検出可能なスタック範囲外書き込みが発生します。バグの内容の例として、"BUG: KASAN: stack-out-of-bounds in hci_le_big_create_sync+0x256/0x3b0 Write of size 31 at addr ffffc90000487b48 by task kworker/u9:0/71"というエラーが報告されています。修正は、誤った0x11のDEFINE_FLEXのカウントを、conn-bisが実際に保持可能なBISエントリ最大数であるHCI_MAX_ISO_BISに変更することで行われました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。BluetoothのSMPにおいて、レガシーレスポンダのSTK認証がMITM状態から派生してしまう問題です。smp_random()のレガシーレスポンダ経路では、現状、pending_sec_levelがBT_SECURITY_HIGHの場合に保存されたSTKを認証済みとラベル付けしています。これはローカルサービスが要求した内容を反映していますが、実際のペアリングフローで達成されたものではありません。Just WorksまたはConfirmレガシーペアリングの場合、SMP_FLAG_MITM_AUTHはクリアされたままのため、ローカル側がHIGHセキュリティを要求していても結果のSTKは未認証のままであるべきです。ペアリング結果とキーのメタデータが一致するように、レスポンダのSTKを保存する際には確立されたMITM状態を使用してください。これにより、このレガシーパスは、すでにJUST_WORKSまたはJUST_CFMを未認証として扱っているSecure Connectionsコードと整合性が保たれます。

Linuxカーネルにおいて、以下の脆弱性が修正されました。ALSAのcaiaqでのinit_card関数におけるスタックの境界外読み取りの問題です。このループはカードの短縮名から空白を除去したコピーを作成しますが、境界チェックに`len sizeof(card-id)`を使用していました。sizeof(card-id)は16であり、ローカルのidバッファも16バイトです。そのため、16文字の空白以外の文字を書き込むとバッファ全体が埋まり、終端のヌルバイトが上書きされてしまいます。その後、このヌル終端されていない文字列がsnd_card_set_id()からcopy_valid_id_string()に渡されると、`while (*nid && ...)`のループによりスタックバッファの終端を越えて読み取り、スタックの内容を読み出してしまいます。多くの非ASCIIかつ非空白文字（例えばマルチバイトUTF-8）を含む製品名のUSBデバイスでは、以下のように確実にこの問題が発生します。BUG: KASAN: stack-out-of-bounds in copy_valid_id_string sound/core/init.c:696 [inline] BUG: KASAN: stack-out-of-bounds in snd_card_set_id_no_lock+0x698/0x74c sound/core/init.c:718。オフバイワン問題は2009年6月（v2.6.31-rc1）のコミットbafeee5b1f8d（"ALSA: snd_usb_caiaq: give better shortname"）以来存在していました。この空白除去ループを最初に導入したコードは、コピーの際にヌル終端文字を考慮していませんでした。本問題はループの境界値を`sizeof(card-id) - 1`に変更し、少なくとも1バイトをヌル終端のために確保することで修正されました。

LinuxカーネルのWi-Fiドライバーであるiwlwifiのiwl_mvm_nd_match_info_handler()関数に潜在的な境界外読み取りの脆弱性が存在していました。この問題はmemcpy関数がコピーするバイト数以上のサイズの配列を仮定していたことと、パケット長の検証が不十分であったことが原因です。適切なバリデーションチェックを追加することで安全性が向上しました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。wifi: wilc1000で、SSIDスキャンバッファサイズ計算におけるu8のオーバーフローを修正しました。変数valuesizeはu8として宣言されていますが、スキャンするすべてのSSIDの合計長を蓄積していました。各SSIDは最大33バイト（IEEE80211_MAX_SSID_LEN + 1）を占め、WILC_MAX_NUM_PROBED_SSID（10）個のSSIDで合計330に達し、u8に格納されると74にラップアラウンドします。これによりkmallocは75バイトのみを割り当て、後続のmemcpyが最大331バイトを書き込み、256バイトのヒープバッファオーバーフローが発生しました。valuesizeをu8からu32に拡張し、完全な範囲に対応しました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。perf/x86のintel_pmu_hw_configにおける潜在的な不正なcontainer_ofの問題を修正しました。自動カウンターリロードでは、ソフトウェアイベントを含むイベントのグループが存在することがあります。ソフトウェアイベントPMUはx86_hybrid_pmuではなく、intel_pmu_set_acr_caused_constr内（ハイブリッドヘルパー経由）でのcontainer_of操作が境界外メモリ読み取りを引き起こす可能性がありました。これを防ぐために、intel_pmu_set_acr_caused_constrへの呼び出しはis_x86_eventチェックで保護されています。

gobgp v4.3.0 の ParseIP6Extended 関数 (/bgp/bgp.go) における境界外読み取りの脆弱性により、攻撃者は細工された BGP UPDATE メッセージを提供してサービス拒否（DoS）を引き起こす可能性があります。

monetrは定期的な支出のための予算管理アプリケーションです。バージョン1.12.5以前のmonetrのLunch Flow統合にはサーバーサイドリクエストフォージェリ（SSRF）の脆弱性がありました。この脆弱性により、自己ホスト型インスタンスの認証済みユーザーであれば誰でも、呼び出し元が指定した任意のURLに対してmonetrサーバーがHTTP GETリクエストを発行させることができました。また、200以外の上流レスポンスの本文がAPIエラーメッセージに反映されていました。この問題はバージョン1.12.5で修正されています。

Weblateはウェブベースのローカリゼーションツールです。バージョン5.17.1より前では、project.add権限を持つ認証済みユーザー（ホストされたWeblate SaaSのデフォルト設定および有効な課金/トライアルプランを持つユーザー）が、悪意のあるプロジェクトバックアップZIPのcomponents/name.jsonに攻撃者が選択したリポジトリURL（例：http://127.0.0.1:9999/のようなプライベートアドレスや、file://やgit://のような許可リストにないスキーム）を含めてインポートできました。WeblateはComponent.objects.bulk_create([component])[0]によってコンポーネントを永続化し、これによりDjangoのfull_clean()を回避し、validate_repo_urlバリデーターが実行されませんでした。そのURLはその後、configure_repo(pull=False)によって.git/configにそのまま書き込まれました。この問題はバージョン5.17.1で修正されています。

Prometheusはオープンソースの監視システムおよび時系列データベースです。バージョン3.5.3および3.11.3以前では、Azure ADのリモート書き込みOAuth構成（storage/remote/azuread）にあるclient_secretフィールドがSecret型ではなくstring型として扱われていました。Prometheusは構成を/-/config HTTP APIエンドポイント経由で提供する際にSecret型のフィールドをマスキングしますが、このフィールドがプレーンな文字列だったため、Azure OAuthクライアントシークレットがそのエンドポイントにアクセスできるユーザーやプロセスに平文で露出していました。この問題はバージョン3.5.3および3.11.3で修正されています。

Prometheusはオープンソースの監視システムおよび時系列データベースです。バージョン3.5.3および3.11.3より前のバージョンでは、リモート読み取りエンドポイント（/api/v1/read）が、スナッピー圧縮されたリクエストボディ内の宣言されたデコード後の長さをメモリ割り当て前に検証しませんでした。認証されていない攻撃者は、小さなペイロードを送信することで、リクエストごとに大量のヒープ割り当てを引き起こすことが可能です。高負荷状態では、これにより利用可能なメモリが枯渇し、Prometheusプロセスがクラッシュする可能性があります。この問題はバージョン3.5.3および3.11.3で修正されました。

GitPythonはGitリポジトリとやり取りするために使用されるPythonライブラリです。バージョン3.1.30から3.1.47より前のバージョンでは、GitPythonは--upload-packや--receive-packのような危険なGitオプションをデフォルトでブロックしていましたが、同等のPythonキーワード引数であるupload_packおよびreceive_packはそのチェックを回避してしまいます。アプリケーションが攻撃者によって制御されたkwargsをRepo.clone_from()、Remote.fetch()、Remote.pull()、またはRemote.push()に渡すと、allow_unsafe_optionsがデフォルトのFalseのままであっても任意のコマンド実行が可能になる危険性があります。この問題はバージョン3.1.47で修正されました。