脆弱性情報（JVN）検索・一覧

Nautobotはネットワークの信頼できる情報源およびネットワーク自動化プラットフォームです。バージョン2.4.33および3.1.2より前のNautobotのUIのオブジェクト一括名前変更エンドポイント（例えば、/dcim/interfaces/rename/）には、findフィールドの正規表現の使用フラグ（use_regex）と組み合わせて悪意のある正規表現が作成された場合に、アプリケーション全体がサービス拒否（DoS）攻撃を受ける脆弱性が存在していました。この脆弱性は2.4.33および3.1.2で修正されました。

Ubuntu Linux 6.8には、AppArmor通知の処理においてNULLポインタ参照が発生する可能性があるSAUCEパッチが含まれています。このバグは権限のないローカルユーザーによって引き起こされる可能性があり、それによってカーネルパニックが発生します。

Honoは、あらゆるJavaScriptランタイムをサポートするWebアプリケーションフレームワークです。バージョン4.12.21より前のjwtおよびjwkミドルウェアは、Authorizationヘッダーの値がBearerスキームを使用しているかどうかを検証していませんでした。スキーム名が何であっても、2部構成のヘッダー値はJWT検証へと進みます。例えば、BasicやTokenのようなBearer以外のスキーム識別子で有効なJWTを提示したリクエストは、正しく形成されたBearerリクエストと同様に認証されてしまいます。この脆弱性は4.12.21で修正されました。

Honoは、任意のJavaScriptランタイムをサポートするWebアプリケーションフレームワークです。4.12.21以前のバージョンでは、ip-restrictionミドルウェア（hono/ip-restriction）が、部分的な正規化後に文字列の等価性を用いて受信したIPアドレスを設定された拒否および許可ルールと比較していました。静的ルールに既にリストされているアドレスの非正規形IPv6表現（圧縮形式、明示的ゼロ形式、またはIPv4マッピングされた16進表記など）は正規化されたルールエントリと一致せず、その結果ルールが静かにスキップされてしまっていました。この脆弱性は4.12.21で修正されました。

Honoは任意のJavaScriptランタイムをサポートするWebアプリケーションフレームワークです。4.12.21以前のバージョンでは、hono/cookieのserialize()関数は、Set-Cookieヘッダーの構文を破壊する文字（;、\r、\n）に対してdomainおよびpathオプションを検証していましたが、sameSiteおよびpriorityには同じ検証を適用していませんでした。ユーザーが制御する入力をいずれかのオプションに渡すアプリケーションは、攻撃者が選択した追加属性を含むSet-Cookieレスポンスヘッダーを生成する可能性があります。この脆弱性は4.12.21で修正されました。

Honoは、任意のJavaScriptランタイムをサポートするWebアプリケーションフレームワークです。4.12.21以前のバージョンでは、app.mount()が着信リクエストパスからマウントプレフィックスを生のURLパス名を使って削除しますが、ルートマッチングはパーセントデコードされたパスに対して行われます。この不整合により、パスにパーセントエンコードされたマルチバイト文字が含まれている場合、プレフィックスが誤った位置で削除され、マウントされたサブアプリケーションが誤ったパスを受け取るという結果になります。この脆弱性は4.12.21で修正されました。

pypdfは無料のオープンソースの純粋なPython製PDFライブラリです。バージョン6.12.0より前では、攻撃者がこの脆弱性を悪用して、大量のメモリ使用を引き起こすPDFを作成することが可能でした。この脆弱性は、レイアウトモードでテキストを抽出し、大きな文字オフセットを伴う場合に発生します。この脆弱性はバージョン6.12.0で修正されました。

pypdfは無料でオープンソースの純粋なPython製PDFライブラリです。バージョン6.12.1より前のものでは、この脆弱性を利用する攻撃者が大きなメモリ使用量を引き起こすPDFを作成する可能性があります。これは大量の不要な要素を含む大きなXMPメタデータの解析を必要とするためです。この脆弱性はバージョン6.12.1で修正されました。

Mattermostプラグインのバージョン11.5以下、11.1.5、10.13.11、および11.3.4.0には、ユーザーがどのグループに対して問題を作成したりコメントを添付したりできるかに関するAPIレベルのチェックが存在しませんでした。そのため、複数のグループのメンバーであるユーザーが、直接APIリクエストを介してロックされたグループに問題を作成する可能性があります。

Mattermostプラグインのバージョン11.5以下、11.1.5、10.13.11、および11.3.4.0には、有効な名前空間を適切にチェックしない脆弱性があります。これにより、プラグインユーザーはホワイトリストに登録されていないグループに対しても購読を作成できるようになります。この脆弱性は、ホワイトリストに登録されたグループと同じプレフィックスを持つグループを作成することで悪用可能です。MattermostアドバイザリIDはMMSA-2026-00601です。

GitLabは、GitLab CE/EEのバージョン18.9から18.10.7未満、18.11から18.11.4未満、および19.0から19.0.1未満のすべてのバージョンに影響する問題を修正しました。この問題は、特定の条件下でブロックされたプロジェクトアクセス・トークンが誤った認可の適用によりプライベートリソースへアクセスを継続できてしまう可能性があることが原因でした。

Google Chromeの148.0.7778.216より前のバージョンにおいて、ANGLEの整数オーバーフローの脆弱性により、リモートの攻撃者が細工されたHTMLページを介してクロスオリジンデータを漏洩させる可能性がありました。

Google Chrome 148.0.7778.216 より前のバージョンの ANGLE において未初期化の使用があり、リモートの攻撃者が細工された HTML ページを介してクロスオリジンデータを漏洩させることが可能でした。

Google Chromeの148.0.7778.216以前のANGLEにおける未初期化使用により、リモート攻撃者が細工されたHTMLページを介してサイトアイソレーションを回避し、レンダラープロセスを侵害することが可能でした。

Google Chrome 148.0.7778.216より前のバージョンのOptimization Guideにおいて、信頼されていない入力の検証が不十分であったため、リモートの攻撃者が細工されたHTMLページを介してレンダラープロセスを乗っ取り、UIスプーフィングを行うことが可能でした。

Synology Surveillance StationのAddOns機能における認可欠如の脆弱性は、バージョン9.2.2-11575および9.2.2-9575より前のバージョンに存在し、リモートで認証された管理者権限を持つユーザーが、不特定の経路を通じて機密情報を取得できる脆弱性です。

Synology Surveillance Stationのバージョン9.2.2-11575および9.2.2-9575より前には、エクスポートキー機能で機密情報が平文で送信される脆弱性があります。この脆弱性により、管理者権限を持つリモート認証ユーザーが特定されていない経路を介して機密情報を取得できる可能性があります。

Synology Surveillance StationのIPSpeakerコンポーネントにおいて、十分に保護されていない認証情報の脆弱性がバージョン9.2.2-11575および9.2.2-9575以前に存在します。この脆弱性により、管理者権限を持つリモート認証ユーザーが不特定の経路を通じて機密情報を取得できる可能性があります。

IBM Business Automation Workflow コンテナおよび従来のバージョンでは、エラーメッセージ内でデータベース構造に関する情報が漏洩する可能性があります。

Linuxカーネルのnet: ipv6コンポーネントにおいて、IPv4ルートがループバックIPv6ネクストホップを参照するとパニックが発生する問題が修正されました。この問題は、単独のIPv6ネクストホップオブジェクトがループバックデバイスで作成される際に、fib6_nh_init()が誤ってこれを拒否ルートとして扱いfib_nh_common_init()をスキップするため、nhc_pcpu_rth_outputが割り当てられず、その後IPv4ルートがこのネクストホップを参照するとNULLポインタ参照によりパニックが発生していました。この修正では、fib6_nh_init()のチェックが簡素化され、明示的な拒否ルート(RTF_REJECT)のみが拒否ルートとして扱われるようにしました。その結果、単独ネクストホップオブジェクトによるパニックを防止しました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。ASoC: SDCAに関するエンティティ名の割り当て失敗のチェックを追加しました。現在、find_sdca_entity_iot()はエンティティ名の文字列を割り当てることができますが、その割り当てが成功したかどうかを確認していませんでした。割り当て後にNULLチェックを追加しました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。net: sk-sk_{data_ready,write_space}周辺のデータ競合に関して、skmsg（おそらく他のレイヤーも含む）がこれらのポインタを変更している間に、他のCPUが並行してそれらを読み取る可能性がありました。UDP、TCP、およびAF_UNIXに対して対応するREAD_ONCE()/WRITE_ONCE()注釈を追加しました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。smbのクライアントにおいて、cifs_set_cifscreds関数が平文の資格情報をログに記録する問題がありました。デバッグロギングが有効な場合、cifs_set_cifscreds()はキーのペイロードをログに記録し、平文のユーザー名とパスワードが露出してしまいます。この資格情報の露出を防ぐため、デバッグログの記録を削除しました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。ipv6: ip6_rt_get_dev_rcu()内のNULLポインタ参照の修正です。l3mdev_master_dev_rcu()は、スレーブデバイスがVRFから解除されているときにNULLを返すことがあります。他の呼び出し元はこれに対応していますが、コミット4832c30d5458（"net: ipv6: put host and anycast routes on device with address"）でip6_rt_pcpu_alloc()からip6_rt_get_dev_rcu()へのループバックへのフォールバックが失われました。KASANにより範囲[0x0000000000000108-0x000000000000010f]でnullポインタ参照が発生しました。RIPは0010:ip6_rt_pcpu_alloc (net/ipv6/route.c:1418)です。呼び出しトレースは、ip6_pol_route (net/ipv6/route.c:2318)、fib6_rule_lookup (net/ipv6/fib6_rules.c:115)、ip6_route_output_flags (net/ipv6/route.c:2607)、vrf_process_v6_outbound (drivers/net/vrf.c:437)の順です。私はスレーブ解除処理を見直し、フラグを先にクリアしupperを削除する前にsynchronize_rcu()を挿入しようと考えました。しかし、ループバックデバイスへの明示的なフォールバックは確立されたパターンのようです。また、synchronize_rcu()の使用を回避するのが望ましいと考えています。

Linuxカーネルにおいて、以下の脆弱性が解決されました：can: ems_usbのems_usb_read_bulk_callback()におけるメッセージの適切な長さのチェックです。USB urb内のデータを見るとき、actual_lengthはドライバに渡されたバッファのサイズであり、転送バッファ長を示すtransfer_buffer_length（ドライバがバッファの最大サイズとして設定するもの）ではありません。ems_usb_read_bulk_callback()内でメッセージを解析する際には、メッセージ解析開始時に十分なサイズがあることを確認し、メッセージ解析終了時には次のメッセージのためにバッファの末尾を超えないよう、サイズを適切にチェックしなければなりません。

Linuxカーネルにおいて、pinctrl equilibriumドライバのロード時に発生する警告トレースの問題を修正しました。この問題は、割り込みマスク関数eqbr_irq_mask()がgpiochip_disable_irq()を呼び出すことで重複した無効化処理が発生していたことが原因です。その結果、すべてのGPIOごとに警告メッセージがログに記録されていました。本修正により、割り込みの無効化処理を重複させずに適切に実装することで、この警告を解消します。

Linuxカーネルにおいて、以下の脆弱性が修正されました。tracing: trigger_data_free()にNULLポインタチェックが追加されました。trigger_data_alloc()が失敗してNULLを返した場合、event_hist_trigger_parse()はout_freeのエラーパスに移行します。kfree()はNULLポインタを安全に処理しますが、trigger_data_free()はそうではありません。そのため、trigger_data_free()内でdata-cmd_ops-set_filterを評価する際にNULLポインタ参照が発生します。この問題はtrigger_data_free()にNULLポインタチェックを追加することで修正されました。この問題は、v6.18.yへのバックポートをレビューする過程でgemini-3.1-proに基づく実験的なコードレビューエージェントによって発見されました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。bpf/bondingにおいて、XDPが読み込まれている場合にvlan+srcmacのxmit_hash_policyへの変更が拒否されます。bond_option_mode_set()はbond_xdp_check()を通じて、読み込まれたXDPプログラムと互換性のないモード変更をすでに拒否しています。しかし、bond_option_xmit_hash_policy_set()にはそのような保護がありませんでした。802.3adおよびbalance-xorモードでは、通常ハードウェアオフロードにより802.1qペイロードが存在しないため、bond_xdp_check()はxmit_hash_policyがvlan+srcmacの場合にfalseを返します。これにより、ユーザーは以下の操作を行うことが可能でした。1. 互換性のあるxmit_hash_policy（例えばlayer2+3）で802.3ad/balance-xorモードのbondにネイティブXDPプログラムをアタッチする。2. XDPが読み込まれている状態でxmit_hash_policyをvlan+srcmacに変更する。これによってbond-xdp_progは設定されたままになりますが、同じデバイスに対してbond_xdp_check()はfalseを返す状態となります。bondが後に破棄される際、dev_xdp_uninstall()はbond_xdp_set(dev, NULL, NULL)を呼び出しプログラムを削除しようとしますが、bond_xdp_check()のガードにより-EOPNOTSUPPを返し、以下の警告が発生します。WARN_ON(dev_xdp_install(dev, mode, bpf_op, NULL, 0, NULL))。この問題を修正するために、802.3adまたはbalance-xorモードのbondでXDPプログラムが読み込まれている場合に、xmit_hash_policyがvlan+srcmacに変更されることを拒否するようにしました。コミット39a0876d595b（"net, bonding: Disallow vlan+srcmac with XDP"）でbond_xdp_check()が導入され、xmit_hash_policyがvlan+srcmacの場合に802.3ad/balance-xorモードでfalseを返すようになりました。このチェックはbond_xdp_set()に組み込まれ、互換性のないポリシーでのXDPアタッチメントを拒否しますが、同様にXDP読み込み後に互換性のない値にxmit_hash_policyを変更する処理はbond_option_xmit_hash_policy_set()で保護されていませんでした。注意として、コミット094ee6017ea0（"bonding: check xdp prog when set bond mode"）で後にbond_option_mode_set()に同様の保護が追加されましたが、bond_option_xmit_hash_policy_set()には依然として保護がありませんでした。

Microsoft Office SharePointの不適切な入力検証により、不正な攻撃者がネットワーク上でなりすましを行うことが可能となります。

$__timeGroup マクロを使用することで、サーバーに過負荷をかけてOOM（メモリ不足）を引き起こすことができます。この攻撃には SQL データソースが必要です。サーバーが自動再起動に設定されている場合、攻撃によってサーバーがクラッシュするのに30分以上かかるため、影響は最小限に抑えられます。

IsUserAuthority または IsHostAuthority を設定せずに CertChecker を公開鍵のコールバックとして使用している SSH サーバーでは、クライアントが証明書を提示するとパニックが発生する可能性がありました。現在、CertChecker はこれらのコールバックが nil の場合にパニックを引き起こすのではなく、エラーを返すように改善されています。

free5GCは5Gコアネットワークのオープンソース実装です。バージョン4.2.2より前のFree5GCのAMFは、3GPP TS 33.501 §6.9.5.1で定義された同時セキュリティ手順のルールを強制していませんでした。AMFはNASセキュリティモードコマンドを開始する前に進行中のN2ハンドオーバー手順を確認せず、その逆も同様に行いませんでした。これにより、ネットワークとUE間でNASとASセキュリティコンテキストが不一致となる可能性がありました。この脆弱性はバージョン4.2.2で修正されています。

Apache Syncopeにおいて、データクエリを通じて機密情報が露出する脆弱性が存在します。適切な権限を持つ管理者が悪意のあるJEXL式を作成できるため、その結果としてユーザーの読み取り権限を持つ任意の管理者がユーザーに関連するセキュリティ上敏感な情報にアクセス可能になります。この問題はApache Syncopeのバージョン3.0から3.0.16、4.0から4.0.5、および4.1.0に影響します。ユーザーはこの問題を修正し、JEXL式の定義をさらに制限したバージョン4.0.6および4.1.1にアップグレードすることを推奨します。

free5GCは5Gコアネットワークのオープンソース実装です。バージョン4.2.2以前のfree5GCでは、PCFのPOST /npcf-policyauthorization/v1/app-sessionsハンドラが、ascReqData.suppFeatが"1"（トラフィックルーティング機能交渉を有効にする）であり、medComponentsエントリがafAppIdを提供するがAfRoutReqを提供しない単一の認証済みリクエストに対してパニックを引き起こします。createパスはその後、routeReqがnilである状態でprovisioningOfTrafficRoutingInfo(smPolicy, appID, routeReq, ...)を呼び出し、nilチェックを行わずにrouteReq.RouteToLocs（およびその他のフィールド）を参照するため、ランタイムエラーである無効なメモリアドレスまたはnilポインタの逆参照が発生します。GinのリカバリはこのパニックをHTTP 500エラーに変換します。この脆弱性はバージョン4.2.2で修正されました。

free5GCは5Gコアネットワークのオープンソース実装です。バージョン4.2.2以前のfree5GCのBSF PUT /nbsf-management/v1/subscriptions/{subId}ハンドラーには、グローバルSubscriptionsマップに対して同期されていない書き込みが行われていました。このハンドラーは最初にBSFContext.GetSubscription(subId)を用いてRLock()下でマップを読み取りますが、サブスクリプションが存在しない場合、ReplaceIndividualSubscription()がミューテックスを取得せずに直接同じマップに書き戻します（bsfContext.BsfSelf.Subscriptions[subId] = subscription）。認証済みの同時PUTリクエストの負荷下では、一つのゴルーチンがマップを読み取っている間に別のゴルーチンが書き込みを行う可能性があり、その結果Goランタイムはfatal error: concurrent map read and map writeのエラーを発生させてプロセスを中断します（Goランタイムのパニックはrecover()を回避し、プロセスを終了させます）。BSFコンテナはコード2で終了し、再起動するまでBSFのSBIインターフェース全体が停止します。この脆弱性はバージョン4.2.2で修正されました。

free5GCは5Gコアネットワークのオープンソース実装です。バージョン4.2.2以前のfree5GCにおいて、UDRのnudr-dr DELETE /subscription-data/{ueId}/{servingPlmnId}/ee-subscriptions/{subsId}/amf-subscriptionsハンドラには、1回の認証済みEEサブスクリプション作成後に単一認証済みリクエストから到達可能なnilポインタ参照の脆弱性があります。ハンドラは_ , ok = UESubsData.EeSubscriptionCollection[subsId]をチェックし、該当しない場合は404の問題詳細を設定しますが、その後もUESubsData.EeSubscriptionCollection[subsId].AmfSubscriptionInfosにアクセスし、存在しない同じエントリを参照してしまい、返却せずに処理を進めてしまいます。Ginのリカバリ機能はパニックをHTTP 500エラーに変換しますが、このエンドポイントは繰り返しパニックを引き起こす可能性があります。この脆弱性はバージョン4.2.2で修正されました。

free5GCはオープンソースの5Gコアネットワーク実装です。バージョン4.2.2以前では、free5GCのUDRのnudr-dr DELETE /subscription-data/{ueId}/{servingPlmnId}/ee-subscriptions/{subsId}/amf-subscriptionsハンドラーにおいて、提供されたueIdがUESubsCollectionに存在しない新しいUDRインスタンスに対する単一の認証済みリクエストがパニックを引き起こしていました。プロセッサはvalue, ok := udrSelf.UESubsCollection.Load(ueId)で値をチェックし、存在しない場合は404 USER_NOT_FOUNDのproblem-detailsを設定しますが、処理は継続し、すぐにvalue.(*udr_context.UESubsData)を実行します。これはnilインターフェースに対するGoの型アサーションであり、interface conversion: interface {} is nil, not *context.UESubsDataというパニックを発生させます。GinのリカバリーはこのパニックをHTTP 500に変換しますが、このエンドポイントは繰り返しパニックを引き起こす状態のままになります。この脆弱性はバージョン4.2.2で修正されました。

Angular SSRはAngularアプリケーション向けのサーバーサイドレンダリングツールです。バージョン19.0.0-next.0から19.2.25、20.3.25、21.2.9、22.0.0-next.7の前までに、Angular SSRのX-Forwarded-Prefixヘッダー処理ロジックに脆弱性が存在します。内部の検証メカニズムはURLエンコードされた文字、特にドット（%2e%2e）を適切に考慮していません。これにより攻撃者は、後にデコードされアプリケーションロジックで使用されるエンコード済みのパス・トラバーサルシーケンスを注入し、セキュリティフィルターを回避できます。Angular SSRアプリケーションがプロキシヘッダーの信頼を設定し、X-Forwarded-Prefixヘッダーを事前に消毒せず転送するプロキシの背後にデプロイされている場合、攻撃者は/%2e%2e/evilのようなペイロードを提供可能です。この脆弱性はバージョン19.2.25、20.3.25、21.2.9、22.0.0-next.7で修正されています。

Mistuneはレンダラーとプラグインを備えたPythonのMarkdownパーサーです。バージョン3.2.1以前のMistuneのmathプラグインは、インライン数式（$...$）およびブロック数式（$$...$$）を、ユーザーが提供した生の内容を直接HTML出力に連結してレンダリングしており、HTMLエスケープが行われていませんでした。この問題は、すべてのユーザー制御テキストがDOMに届く前にサニタイズされることを保証するために、明示的にescape=Trueでパーサが作成されている場合でも発生しました。この脆弱性はバージョン3.2.1で修正されました。

Mistuneはレンダラーとプラグインを備えたPythonのMarkdownパーサーです。バージョン3.2.0およびそれ以前のsrc/mistune/directives/image.py内のrender_figure()関数は、figclassとfigwidthオプションをエスケープせずに直接HTML属性に連結します。これにより、HTMLRenderer(escape=True)が使用されている場合でも、これらの値がインラインレンダラーを回避するため、属性インジェクションおよびXSSが可能になります。