脆弱性情報（JVN）検索・一覧

GoBGPは、Goプログラミング言語で実装されたオープンソースのボーダーゲートウェイプロトコル（BGP）です。バージョン4.4.0において、認証されていないリモートBGPピアが特別に細工されたBGP UPDATEメッセージを送信することで、GoBGPで致命的なパニックを引き起こす可能性があります。サーバーが属性長が不整合なメッセージを受信した場合、内部状態の遷移を「withdraw」アクションとして不適切に処理し、その結果AdjRib.Update関数でnilポインタ参照が発生します。これによりGoBGPプロセス全体がクラッシュし、サービスの可用性が完全に失われます。この問題はバージョン4.5.0で修正されました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。ipv4のicmp_build_probe()におけるヌルポインタ逆参照の問題が修正されました。IPv6スタックが非アクティブ（CONFIG_IPV6=mでロードされていない）場合、ipv6_stub-ipv6_dev_find()はERR_PTR(-EAFNOSUPPORT)を返す可能性があります。このエラーポインタをdev_hold()に渡すとヌルポインタ逆参照によるカーネルクラッシュが発生します。そこで、要求を静かに破棄するように変更しました。RFC 8335では、IPv6インターフェース識別子が構文的に有効であっても、実装が実行時にルックアップを行えない場合の特定の応答は定義されていません。要求を静かに破棄することは、「そのようなインターフェースは存在しない」と誤報するよりも安全であると考えられます。

Linuxカーネルにおいて、以下の脆弱性が修正されました。ipv6のioamモジュールにおける__ioam6_fill_trace_data()関数でNULL参照が発生する可能性が修正されました。Yiming Qianの指摘により、__in6_dev_get()の戻り値がNULLである可能性を確認する必要があります。また、skb_dst_dev()の代わりにskb_dst_dev_rcu()が追加され、不足していた2つのREAD_ONCE()も追加されました。なお、@devがNULLであってはならないことも明確にされています。

Linuxカーネルに存在した脆弱性は、cachefiles_cull()関数内で不正なdentry参照カウントの扱いに関するものでした。この問題は、cachefiles_bury_object()関数が特定のdentryに対して2つの参照を期待する一方で、cachefiles_cull()がその期待を満たしていなかったことに起因していました。結果として、参照カウントのずれが発生し、メモリ管理に問題が生じる可能性がありました。この脆弱性は、cachefiles_cull()がcachefiles_bury_object()を呼び出す前に追加の参照を取得し、その後正しく解放することで修正されました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。rnbd-srvは使用前にrspバッファをゼロクリアします。レスポンスメッセージを返すためにデータバッファを使用する前に、完全にゼロクリアします。これにより、異なるプロトコルバージョン間でメッセージが交換される際に、クライアント側で不要なバイトが誤って読み取られることを防ぎます。

Linuxカーネルにおいて、以下の脆弱性が修正されました。xfsでは、空の属性リーフフリーマップエントリを削除する処理の問題です。コミット2a2b5932db6758（"xfs: fix attr leaf header freemap.size underflow"）にて、Brian Foster氏は、xattrエントリ配列の末尾にある小さなフリーマップが、エントリ配列の拡張によって消費されるスペースを引く際にサイズのアンダーフローを引き起こす可能性があることを指摘しました。フリーマップエントリは3つしかなく、リーフブロックのすべての空きスペースの完全なインデックスではありません。このコードは、サイズが0だがベースがゼロでないフリーマップエントリを残すことがあります。以降のsetxattr操作により、ベースが別のフリーマップエントリと重なるまで増加する場合があります。これはそれ自体は問題ではなく、_leaf_addで空きスペースを検索するコードはサイズ0のフリーマップエントリを無視します。しかし、_leaf_add内のフリーマップ更新コードには別のバグがあり、新たに配列に追加されたxattrエントリの途中から始まるフリーマップエントリを更新しません。これにより、同じベースでサイズが異なる二つのフリーマップエントリ（「押し上げられた」エントリは0サイズ、実際に空きスペースを追跡するエントリは0でないサイズ）が存在する状態となります。続く_leaf_addはエントリ配列上にxattr namevalueエントリを割り当て、データの損失を引き起こす可能性があります。しかし、この問題の修正は後日行われる予定です。現在は、サイズが0のフリーマップエントリのベースをゼロにして混乱の可能性を排除しています。フリーマップは空きスペースの完全なインデックスを意図していないため、新しいxattrに空きスペースが見つからなければブロック圧縮がトリガーされ、フリーマップが再生成されます。このバグはコードベースに長期間存在していました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。netfilterのxt_tcpmssにおいて、optlenを読み取る前に残りの長さをチェックするように改善されました。報告者によると、net/netfilter/xt_tcpmss.cの53から68行目で、TCPオプションパーサは残りのオプション長を検証せずに直接op[i+1]を読み取っていました。オプションフィールドの最後のバイトがEOLまたはNOP（0または1）でない場合、コードはop[i+1]にアクセスしようとします。i + 1がoptlenと等しい場合、これは境界外読み取りを引き起こし、optlenの境界を超えたメモリ（スタックバッファの_optまたは後続のペイロード）を読み取ってしまう可能性がありました。

Linuxカーネルにおいて、以下の脆弱性が解決されました。net: GSOフレームの送信（xmit）エラーを適切に処理するようになりました。現在、udpgro_frglist.shとudpgro_bench.shはNIPAで最も不安定なテストであり、両方とも同じ方法で失敗します。また、TCP GROテストは時々停止し、約10分後にテストが終了します。これらのテストはvethを使用してGROをシミュレートし、単純な（「return XDP_PASS;」）XDPプログラムをvethにアタッチしてTSOをオフにし、NAPIをオンにしています。障害モードを調査した結果、接続はパケットドロップの連続後に完全に停止していることが判明しました。送信者のsnd_nxtはシーケンス番号Nですが、受信者はN + 3 * MSSまで受信したと主張しています。問題の最後の部分では、送信者の再送キューが空でなく（キューのブロックはシーケンス番号N - 4 * MSSにあると仮定）、送信者はこの状態で再送キューから単一セグメント（シーケンス番号N-4*MSSからN-3*MSS）を再送します。受信者はそれを受け入れてACKをN + 3 * MSSまで返しますが、送信者はこれをTCP_ACK_UNSENT_DATAとして拒否します。なぜなら、その範囲までデータを送信した記憶がないからです。そして、システムは停止します。根本原因はxmitの戻り値コードの混乱にあります。vethはフレームを送信できない場合にエラーを返しますが、これにより損失イベントが発生します。図ではGSOスーパーフレームの各セグメントのうち1番目と8番目のパケットがvethで失われています。vethはこのテストでTSOを無効にしているため個々のセグメントを見ており、セグメント1は再送キューにあり再送されます。ではなぜ送信者は8番目のセグメントまで送信しているにもかかわらずsnd_nxtを進めないのでしょうか。tcp_write_xmit()はコアからの戻り値をデータが送信されていないと解釈しているからです。TCPはGSOスーパーフレーム単位で処理しているため、単一セグメントの損失を全体の損失と見なしてしまうことが問題の核心です。TCPはGSOフレームの最後のセグメントの戻り値コードのみを参照します。この問題の発生にはQdiscがない環境やデバイスが必要です。通常、Qdiscはプロトコル層をデバイスエラーから切り離しています。修正方法はいくつかあります。1) vethがパケットを失ってもエラーを返さないようにする方法。過去にこの方法を試みましたが問題は繰り返し発生し、デバッグが困難でした。2) 戻り値コードを修正する方法。ドキュメントではNETDEV_TX_OKとNETDEV_TX_BUSYのみが言及されているため、ndo_start_xmit()の戻り値をbooleanにするのが良いかもしれません。ただし古い非ネットワークプロトコルに影響が出る可能性があります。3) TCPがエラーを無視する方法。ip_queue_xmit()の結果をTCPが解釈する利点は不明であり、接続確立後のデータ送信中はパケット損失を単なる損失として扱うべきかもしれません。4) 今回の修正方法。QdiscがなくかつGSOケースで戻り値を無視し、TCQ_F_CAN_BYPASSの場合は常にOKを返しますが、QdiscなしではGSOエラーのみをマスクします。この方法はCANやMCTPなどの非IPネットワークにも影響を及ぼすため古い環境での後退が懸念されます。これが最も単純である反面、最もハッキング的な修正かもしれません。似た修正は以前Ericにより提案されましたが、報告者がアウトオブツリーのドライバを使用しフィードバックがなかったため採用されませんでした（詳細は参照してください）。

Linuxカーネルにおいて、soc: ti: pruss: pruss_clk_mux_setup()関数の二重解放の脆弱性が修正されました。devm_add_action_or_reset()がpruss_of_free_clk_provider()を呼び出し、その中でof_node_put(clk_mux_np)がエラーパスで実行されますが、その後再度of_node_put(clk_mux_np)が呼ばれて二重解放が発生しました。この問題は重複するof_node_put()の呼び出しを回避するために、直接returnすることで修正されました。

Linuxカーネルのnet/mlx5eにおいて、IPsecのMACアドレス問い合わせ処理でatomicコンテキスト中にスケジューリングが発生するバグが修正されました。この問題はmlx5e_ipsec_init_macs()関数内でハードウェアに問い合わせを行うmlx5_query_mac_address()が呼ばれ、その内部でスリープ可能な処理が実行されるために発生していました。修正ではnetdev-dev_addrから直接ローカルMACアドレスを取得するように変更し、ハードウェア問い合わせを回避しています。これによりatomicコンテキストでの不正なスケジューリングを防止しています。

Linuxカーネルのatm fore200eデバイスには、デバイス削除時に未処理のタスクリットが解放済みのメモリにアクセスしてしまうuse-after-freeの脆弱性があります。この脆弱性は、fore200eドライバがPCA-200EまたはSBA-200Eアダプターの切断時にfore200eオブジェクトを解放する一方で、送受信のタスクリット（tx_taskletやrx_tasklet）がまだ実行中またはスケジュールされている場合に発生します。結果として、これらのタスクリット関数が解放されたメモリにアクセスし、競合状態を引き起こします。この問題はfore200e_shutdown関数にtasklet_killを追加して、すべてのタスクリットが終了していることを保証することで修正されました。また、tasklet_killの呼び出しは、fore200e_reset実行後のFORE200E_STATE_IRQ状態のブランチ内で行われる必要があり、タスクリットの再スケジュールを防止します。この修正により、未解放メモリアクセスに起因するuse-after-freeバグが解消されました。

Linuxカーネルにおいて、dpaa2-switchのnum_ifs検証不足により境界外書き込みの脆弱性が存在していました。このドライバーはファームウェアからsw_attr.num_ifsを取得しますが、DPSW_MAX_IF（64）との検証を行っていませんでした。そのため、num_ifsが64以上の値を報告すると、固定サイズの配列に対して境界外書き込みが発生する可能性がありました。この問題はdpaa2_switch_init()でnum_ifsに対する境界チェックを追加することで修正されました。また、dpaa2_switch_fdb_get_flood_cfg()内でもnum_ifsと関連するループの範囲チェックを強化しています。これにより、制御インターフェースを含むポートのIDが配列の境界を超えないように防止しています。

Linuxカーネルにおいて、以下の脆弱性が修正されました。drm/amdkfdのkfd_event_page_set()関数において、範囲外書き込みの問題が改善されました。kfd_event_page_set()関数は、バッファサイズパラメータを確認せずにmemsetを使用し、KFD_SIGNAL_EVENT_LIMIT * 8バイトを書き込みます。この問題により、特権のないユーザースペースが小さなバッファを渡すことでカーネルメモリへの範囲外書き込みが発生し、潜在的な権限昇格が可能となっていました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。media: mtk-mdpのプローブ関数のエラー処理を修正しました。リソース漏れを防止するために、エラー処理パスでmtk_mdp_unregister_m2m_device()を追加しました。nullポインタ参照を防ぐために、vpu_get_plat_device()の戻り値をチェックする処理を追加しました。また、vpu_get_plat_device()は返されたプラットフォームデバイスの参照カウントを増加させるため、参照漏れを防止する目的でplatform_device_put()を追加しました。

Linuxカーネルにおいて、PCIのpci_slot_trylock()関数のエラー処理の不具合が修正されました。コミットa4e772898f8bでは、pci_slot_trylock()内のブリッジデバイスのロック処理がpci_dev_trylock()からpci_bus_trylock()に変更されました。しかし、pci_bus_trylock()が失敗した場合に、誤って対応するpci_dev_unlock()が残っていました。この誤りにより、存在しないロックの解除が行われるか、他のスレッドのロックを誤って解除する恐れがありました。本件では、失敗時に不要となったpci_dev_unlock(dev)の呼び出しを削除することで問題を解決しました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。LoongArchに関しては、cpumask_of_node()関数をNUMA_NO_NODEに対して堅牢にしました。cpumask_of_node()のアーキテクチャ定義はNUMA_NO_NODE（無効なインデックス）を処理できなかったため、そのためのチェックを追加しました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。wifi: rtw89: pci: TXリリースレポートのシーケンス番号の検証において、ハードウェアが稀にTXリリースレポートに異常なシーケンス番号を報告します。これによりwd_ring-pages配列の境界外アクセスが発生し、NULLポインタ参照が引き起こされます。バグの内容はカーネルのNULLポインタ参照であり、アドレスは0000000000000000です。#PFはカーネルモードでのスーパーバイザ読み取りアクセスを示し、エラーコード(0x0000)は未存在ページを表します。カーネルログの関連情報として、PGD、P4Dの状態、Oops情報、CPU、プロセスID、通信状況、汚染状態、カーネルバージョンおよびハッシュが記録されています。コールトレースには、IRQおよびTASKコンテキストで発生した関数呼び出しの詳細が含まれています。このクラッシュを防ぐためには、使用前にrpp_info.seqの検証を行う必要があります。

Linuxカーネルにおいて、以下の脆弱性が修正されました。KVMのx86アーキテクチャにおいて、__get_sregs2()関数内でPDPTRレジスタを読み取る際にSRCUによるリードサイド保護を追加しました。PDPTRの読み取りはゲストメモリへのアクセスを引き起こす可能性があります。kvm_pdptr_read()からsvm_cache_reg()、load_pdptrs()、kvm_vcpu_read_guest_page()、kvm_vcpu_gfn_to_memslot()の順に呼び出されます。kvm_vcpu_gfn_to_memslot()はmemslotsを__kvm_memslots()経由で逆参照しますが、これはsrcu_dereference_check()を使用し、kvm-srcuまたはkvm-slots_lockのどちらかを保持している必要があります。現在はvcpu-mutexのみが保持されており、そのためlockdepの警告が発生しています。警告メッセージには「WARNING: suspicious RCU usage in kvm_vcpu_gfn_to_memslot 6.12.59+ #3 Not tainted include/linux/kvm_host.h:1062 suspicious rcu_dereference_check() usage!」と表示されます。デバッグ情報にはrcu_scheduler_active=2、debug_locks=1、syz.5.1717/15100による1つのロック保持（#0: ff1100002f4b00b0 (&vcpu-mutex){+.+.}-{3:3}, 場所: kvm_vcpu_ioctl+0x1d5/0x1590）が含まれています。コールトレースも示されており、この脆弱性はLinux Verification Center (linuxtesting.org)によってSyzkallerを用いて発見されました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。cifsではtconフィールドのロック使用方法を修正しました。これまではcifs_tcp_ses_lockを使用して、サーバーやセッション、tconリスト以外の多くのオブジェクトを保護していました。後に、対応する構造体内のフィールドを保護するためにsrv_lock、ses_lock、tc_lockを導入しました。これによりより細かい保護を提供し、不必要な直列化を防ぎました。しかし、tconフィールドの保護にcifs_tcp_ses_lockを使用している箇所がいくつか残っていました。このパッチでは、それらをtc_lockに置き換えています。

Linuxカーネルにおいて、iommu.strict=1 の場合に、完了待機処理が割り込み無効状態のスピンロック内でビジーウェイトを行い、ソフトロックアップを引き起こす可能性がありました。この問題を修正するために、wait_on_sem() の呼び出しをスピンロックの外に移動しました。これにより、不必要な競合や割り込み無効状態の延長を防止しています。

Linuxカーネルのovpn TCPパケット処理において、TCPストリームから抽出されるパケットのヘッダオフセットのオーバーフローと非整列アクセスの問題が修正されました。これにより、パケットの破棄を回避し、性能を向上させ、TCPスループットが最大74%改善されました。

Linuxカーネルにおいて、media: qcom: camss: vfe: vfe_isr_reg_update() 関数の境界外アクセスの脆弱性が修正されました。vfe_isr() 関数は MSM_VFE_IMAGE_MASTERS_NUM(7) をループの上限として使用し、vfe-line[] 配列の境界を超えるインデックスでアクセスしていましたが、vfe-line[] は VFE_LINE_NUM_MAX(4) で定義されています。この問題は、出力ラインと書き込みマスターを別々のループで処理することにより修正されました。

Linuxカーネルにおいて、Alphaシステムでのメモリ圧縮時に発生するユーザースペース破損の脆弱性が修正されました。この脆弱性は、SIGSEGVやglibcアロケータの失敗、コンパイラ内部エラーを断続的に引き起こす可能性がありました。問題の根本原因はページ移動中のTLBシュートダウンが不十分であったことにあります。修正として、MMコンテキストの無効化、即時CPUごとのTLB無効化、および必要に応じた同期的なクロスCPUシュートダウンを組み合わせた新たな移動専用ヘルパーを導入しました。この変更により、Alphaシステムにおけるメモリ圧縮時のユーザースペース破損問題は解決されました。

GitPythonはGitリポジトリと対話するためのPythonライブラリです。バージョン3.1.49以前では、GitConfigParser.set_value()が改行を検証せずにPythonのconfigparserに値を渡していました。GitPython独自の_write()は埋め込み改行をインデント付きの継続行（例：\nが\n\tに）に変換しますが、Gitはインデント付きの[core]スタンザをセクションヘッダーとして認識します。そのため、注入されたcore.hooksPathが有効な設定となってしまいます。これにより、フックを呼び出すGitの操作（コミット、マージ、チェックアウト）は攻撃者が制御するパスのスクリプトを実行します。この問題はバージョン3.1.49で修正されました。

ZTE Cloud PCクライアントuSmartviewにリモートでサービス拒否を引き起こす脆弱性が存在し、この脆弱性によってメモリ破損およびリモートでのサービス拒否が発生する可能性があります。

GitHub Enterprise Serverにおいて、認証されていない攻撃者が細工された深くネストされたJSONペイロードを認証不要のAPIエンドポイントに送信することでサービスを中断させるサービス拒否の脆弱性が特定されました。当該エンドポイントはサイズや深さの制限なしにユーザー制御下のJSONリクエストボディを解析しており、過剰なCPUおよびメモリ消費を引き起こしていました。この脆弱性はGitHub Enterprise Serverの3.21未満の全バージョンに影響を与え、バージョン3.20.2、3.19.6、3.18.9、3.17.15、および3.16.18で修正されています。この脆弱性はGitHubのバグバウンティプログラムを通じて報告されました。

Thunderbird ESR 140.10.1およびThunderbird 150.0.1にはメモリ安全性に関するバグが存在します。これらのバグの一部はメモリ破損の兆候を示しており、十分な努力をすれば任意のコードを実行するために悪用される可能性があると推測されます。この脆弱性はFirefox 150.0.2、Firefox ESR 140.10.2、Firefox ESR 115.35.2、Thunderbird 150.0.2、およびThunderbird 140.10.2で修正されました。

Thunderbird 150.0.1 にメモリ安全性のバグが存在します。これらのバグの一部はメモリ破損の証拠を示しており、十分な努力をすれば任意のコードを実行するために悪用される可能性があると推測されます。この脆弱性は Firefox 150.0.2 および Thunderbird 150.0.2 で修正されました。

Tenda AC6 2.0/15.03.06.23に脆弱性が発見されました。影響を受けるのはコンポーネントhttpdのファイル/goform/telnetにある不明な関数です。引数lan.ipの操作によりOSコマンドインジェクションが引き起こされます。リモートからの攻撃による悪用が可能です。このエクスプロイトは公開されており、悪用される可能性があります。

Tenda AC6 15.03.06.23に脆弱性が確認されました。この脆弱性はhttpdコンポーネントの/goform/WifiApScan内のformWifiApScan関数に影響します。引数であるwl2g.public.countryおよびwl5g.public.countryの操作を実行すると、OSコマンドインジェクションが発生する可能性があります。この攻撃はリモートで実行可能です。エクスプロイトは公開されており、攻撃に利用される恐れがあります。

Tenda AC6 バージョン15.03.06.23にセキュリティ脆弱性が検出されました。この問題は、httpdコンポーネントの/goform/getLogFileファイル内にあるget_log_file関数に影響を及ぼします。引数wans.flagの操作により、OSコマンドインジェクションが発生します。攻撃はリモートから開始可能です。このエクスプロイトは既に公開されており、悪用される可能性があります。

D-Link DNS-320 2.06B01に脆弱性が特定されました。影響を受けるのは、ファイル /cgi-bin/network_mgr.cgi 内の関数 cgi_speed/cgi_dhcpd_lease/cgi_ddns/cgi_set_ip/cgi_upnp_del/cgi_dhcpd/cgi_upnp_add/cgi_upnp_edit です。この操作によってOSコマンドインジェクションが発生します。攻撃はリモートで実行可能です。エクスプロイトは公開されており、悪用される恐れがあります。

D-Link DNS-320 2.06B01にはセキュリティの脆弱性が発見されました。この脆弱性は、/cgi-bin/webfile_mgr.cgiファイルのdelete、rename、copy、move、chmod、chown機能に影響を与えます。この操作によりOSコマンドインジェクションが発生します。この攻撃はリモートから実行される可能性があります。エクスプロイトが公開されており、攻撃に利用される恐れがあります。

D-Link DNS-320 2.06B01に脆弱性が確認されました。この脆弱性は、ファイル/cgi-bin/system_mgr.cgiの関数cgi_set_host、cgi_set_ntp、cgi_fan_control、cgi_merge_userに影響を及ぼします。この操作によりOSコマンドインジェクションが発生します。リモートから攻撃を開始することが可能です。

HCL BigFix Service Management (SM) には、ルートファイルシステムが読み取り専用としてマウントされていないという脆弱性があります。適切に構成されていないルートファイルシステムは、重要なシステムコンポーネントへの意図しない変更を許可し、システムの侵害や不正な変更のリスクを高める可能性があります。

Apache CloudStackを介したバケット削除時にMinIOポリシーのクリーンアップが不十分なため、ユーザーが以前所有していたバケットへのアクセス権を保持してしまう問題があります。別のユーザーが同じ名前で新しいバケットを作成すると、以前の所有者は以前に生成されたアクセスキーおよびシークレットキーを使って不正にそのバケットへの読み取りおよび書き込みアクセスを得る可能性があります。ユーザーは、この問題を修正したApache CloudStackのバージョン4.20.3.0または4.22.0.1以降へのアップグレードを推奨します。

モデムIMSには不適切な入力検証の可能性があります。この問題により、追加の実行権限を必要とせずにリモートからサービス拒否を引き起こすことがあります。

モデムIMSには不適切な入力検証の可能性があります。このため、追加の実行権限を必要とせずにリモートからサービス拒否が発生する可能性があります。

Modem IMSにおいて、不適切な入力検証の脆弱性が存在します。これにより、追加の実行権限を必要とせずにリモートからサービス拒否攻撃が引き起こされる可能性があります。

nrモデムには不適切な入力検証の可能性があります。これにより、追加の実行権限を必要とせずにリモートでサービス拒否（DoS）攻撃が発生する可能性があります。