脆弱性情報（JVN）検索・一覧

Mistuneはレンダラーとプラグインを備えたPython製Markdownパーサーです。バージョン3.2.1以前のHTMLRenderer.heading()は、id属性の値を直接文字列連結してhNタグを生成しており、escape()、safe_entity()、その他のサニタイズ関数を呼び出していませんでした。id値に含まれる二重引用符 " は属性の終了を引き起こし、攻撃者が任意の追加属性（イベントハンドラ、src=、href=など）を見出し要素に注入できる可能性がありました。この脆弱性はバージョン3.2.1で修正されました。

Mistuneはレンダラーとプラグインを備えたPython製Markdownパーサーです。バージョン3.2.1以前では、render_toc_ul()は(level, id, text)のタプルリストからul目次ツリーを構築します。id値（href="#id"として使用）およびテキスト値（リンクの表示ラベルとして使用）は、どちらもHTMLエスケープされることなくプレーンなPythonフォーマット文字列を通じてaタグに挿入されます。見出しIDがユーザー提供の見出しテキストから派生される場合（可読スラッグアンカーの標準的な使用例）、攻撃者はhref="#..."属性のコンテキストを突破し、レンダリングされたTOCに任意のHTMLタグを直接注入できます。scriptブロックも含めて、見出しテキストにそれらを作成可能です。この脆弱性はバージョン3.2.1で修正されました。

Mistuneはレンダラーとプラグインを備えたPythonのMarkdownパーサーです。バージョン3.2.1以前では、Imageディレクティブプラグインが:width:および:height:オプションを_num_re = re.compile(r"^\d+(?:\.\d*)?")という正規表現で検証していました。検証された値が単なる整数でない場合、render_block_image()はそれを直接style="width:...;"またはstyle="height:...;"属性に挿入します。プレフィックスのみを検証する正規表現によって値が受け入れられたため、先頭の数字の後の任意のCSSがエスケープされることなくそのままstyle=属性に到達してしまいます。この脆弱性はバージョン3.2.1で修正されました。

特定の細工された入力により、不正なワイヤーバイトがキャストされて 'ed25519.PrivateKey' が作成され、その使用時にパニックが発生しました。

TinyMCEはオープンソースのリッチテキストエディタです。バージョン5.11.1、7.9.3、および8.5.1より前のバージョンには、無検証のdata-mce-*属性（data-mce-href、data-mce-src、data-mce-style）を介した永続的なXSS脆弱性があります。これにより、攻撃者は安全な属性を上書きする悪意のある値をシリアライズ時に注入し、検証を回避できます。この脆弱性はバージョン5.11.1、7.9.3、および8.5.1で修正されています。

TinyMCEはオープンソースのリッチテキストエディタです。バージョン6.8.0から7.1.0未満の間に、TinyMCEにはサニタイザにおける不適切なSVG名前空間スコープ処理が原因のXSS脆弱性が存在していました。ネストされた要素を用いた巧妙に作成されたペイロードによって、属性のサニタイズを回避し、任意のJavaScriptを実行できます。この脆弱性はバージョン7.1.0で修正されています。

TinyMCEはオープンソースのリッチテキストエディタです。5.11.1、7.9.3、および8.5.1より前のバージョンには、メディアプラグインに格納型XSS脆弱性が存在します。攻撃者は細工されたdata-mce-*属性を介して悪意のあるスクリプトを注入でき、そのスクリプトはコンテンツがレンダリングされる際に実行されます。この脆弱性はメディアプラグインが有効になっているTinyMCEのユーザーに影響を及ぼします。この脆弱性は5.11.1、7.9.3、および8.5.1で修正されています。

TinyMCEはオープンソースのリッチテキストエディタです。バージョン5.11.1、7.9.3、および8.5.1以前に、偽造されたmce:protectedコメントを介したストアドXSSの脆弱性が存在していました。この脆弱性により、攻撃者はサニタイズ処理を回避し、コンテンツが復元される際にスクリプトを実行させることが可能です。この脆弱性はprotectオプションを利用しているユーザーに影響を与えます。なお、この脆弱性はバージョン5.11.1、7.9.3、および8.5.1で修正されています。

Jenkins Active Directory プラグインのバージョン 2.41 およびそれ以前のバージョンは、デフォルトで LDAP リファラルを追跡します。

Jenkins Active Directoryプラグイン2.41以前のバージョンは、LDAPリファラルからのデータを検証せずに逆シリアル化を行います。

Jenkins AppSpider プラグイン バージョン 1.0.17 以前では、フォーム検証を実装するメソッドで権限チェックが行われていませんでした。そのため、Overall/Read 権限を持つ攻撃者が、攻撃者指定の URL に接続できてしまいます。

Jenkins Bitbucket OAuthプラグイン0.17およびそれ以前のバージョンには、ログイン後のリダイレクトURLの制限がなく、攻撃者がフィッシング攻撃を実行できる可能性があります。

IBM App Connect Enterprise バージョン 13.0.1.0 から 13.0.7.0 までには、潜在的に機密性の高い情報がログファイルに保存されており、ローカルユーザーがそれを読み取る可能性があります。

IBM Db2 11.5.0から11.5.9および12.1.0から12.1.4には、範囲パーティション化されたテーブルで特別に細工されたクエリが実行された場合に、サービス拒否が発生する脆弱性があります。

Firefox for iOSは、特別に細工された右から左（RTL）および国際化ドメイン名（IDN）をリンクプレビューUIで誤って表示していました。細工されたRTLホスト名は、表示されるドメインの一部を視覚的に再配置し、攻撃者が制御するサイトを信頼できるオリジンとして表示させる可能性がありました。この脆弱性はFirefox for iOS 151.1で修正されました。

GPACのバージョン2.4.0までにセキュリティ脆弱性が検出されました。この問題の影響を受けるのは、MP4Boxコンポーネントのsrc/isomedia/media.cファイル内のMedia_GetSample関数です。引数catの操作によってメモリリークが発生します。この攻撃はローカル環境からのみ実行可能です。エクスプロイトが公開されており、悪用される可能性があります。この問題を解決するためのパッチ名はe79c5cbe8b3fed27f4854ec229457d30c96206f1です。問題を解決するためにパッチを適用することが最善の対策です。

Jenkins Multijob Plugin 662.vd2e0001f6b_b_dおよびそれ以前のバージョンには、クロスサイトリクエストフォージェリ（CSRF）脆弱性が存在します。この脆弱性により、攻撃者は失敗したMultijobビルドを再開することが可能です。

Zohoが提供するWordPress用プラグインZoho Mail for WordPressには、次の脆弱性が存在します。 ・クロスサイトリクエストフォージェリ（CWE-352）- CVE-2026-8174 この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方がIPAに報告し、JPCERT/CCが開発者との調整を行いました。 報告者：阿部 則夫 氏

Linuxカーネルにおいて、net: af_keyのPF_KEYエクスポートでゼロ初期化されていないアラインドsockaddrの末尾に関する脆弱性が修正されました。PF_KEYのエクスポート経路はsockaddrペイロード領域確保時にpfkey_sockaddr_size()を使用し、IPv6アドレスがワイヤ上で32バイトを占めるにもかかわらず、pfkey_sockaddr_fill()はstruct sockaddr_in6の最初の28バイトしか初期化せず、最後の4バイトが未初期化のままでした。この問題はすべてのPF_KEYメッセージに影響するわけではなく、特にSADB_ACQUIRE、SADB_X_NAT_T_NEW_MAPPING、およびSADB_X_MIGRATEのエクスポート経路で発生しました。これらの経路では、pfkey_sockaddr_fill()の後に未初期化のアラインドsockaddrの末尾部分をクリアする修正が適用されました。

Linuxカーネルにおいて、次の脆弱性が修正されました：xfrm_userのbuild_mapping()関数における情報漏洩の問題です。struct xfrm_usersa_idにはprotoフィールドの後に1バイトのパディングホールが存在しており、この部分がユーザースペースにコピーされる前にゼロクリアされていませんでした。この問題を解決するため、構造体全体を個々の変数を設定する前にゼロクリアするよう修正しました。

Linuxカーネルにおけるnouveauドライバの脆弱性について説明します。デバイスがスリープ状態の場合にaux転送がEBUSYエラーを返すように変更されました。これにより、ランタイムサスペンド中にユーザー空間が/dev/drm_dp_*を使用しようとした際のクラッシュを防ぎ、デバイスのビジー状態を正しく通知します。簡易的な修正がバックポートされており、適切な電源ドメイン設計とファームウェアアップデート中のデバイス起動対策が必要です。

Linuxカーネルにおいて、以下の脆弱性が修正されました。batman-advではdouble-rtnl_lockの問題がありました。ELPメトリックワーカーを回避するため、batadv_v_elp_get_throughput()がRTNLロックを既に保持している場合に呼び出されることがあります。これはbatadv_v_elp_iface_disable()内でcancel_delayed_work_sync()によってワークキューのアイテムがキャンセルされた場合に問題となる可能性があります。この場合、rtnl_lock()を呼び出すとデッドロックが発生します。この問題を回避するために、この関数ではrtnl_trylock()を使用して、RTNLロックが既に保持されている際にはethtool情報の取得をスキップするようにしました。しかし、cfg80211インターフェースの場合はbatadv_get_real_netdev()が呼び出されており、こちらもrtnl_lock()を使用しています。__ethtool_get_link_ksettings()で用いられている手法を適用して、ロックレス版の__batadv_get_real_netdev()を呼び出す必要があります。

Linuxカーネルのstagingドライバーrtl8723bsにおいて、rtw_get_ie_ex()内のデータ検証が不十分である問題が修正されました。フレーム内のデータを適切に検証し、範囲外読み取りを防止するための改善が行われています。

Linuxカーネルにおける脆弱性が修正されました。この問題はmemfdのライブアップデート機能に関連しており、フォリオの状態管理に不備がありました。具体的には、あるフォリオがクリーンと誤って認識され、メモリ不足時に誤って解放される可能性があったため、ユーザーデータが失われる危険性がありました。この修正では、すべてのフォリオをダーティとしてマークすることで、誤った解放を防止しています。これにより、memfdライブアップデートの信頼性が向上し、データの整合性が保たれています。

Linuxカーネルにおいて、以下の脆弱性が修正されました：nstreeのリスト表示に関する権限チェックが強化されました。特権サービスであっても、必ずしも他の特権サービスの名前空間を見ることができてはいけません。そうしないと、情報が相互に漏洩する可能性があります。nstreeが適用されるまで、このポリシーを集中管理するmay_see_all_namespaces()ヘルパーを使用してください。

Linuxカーネルにおいて、以下の脆弱性が修正されました。sched_ext: fairクラスの飽和状態で発生するscx_enable()のスターベーションを修正しました。scx_enable()の間、READYからENABLEDへのタスク切り替えループは呼び出しスレッドのsched_classをfairからextに変更します。fairクラスはextより優先度が高いため、fairクラスのワークロードが飽和するとenableスレッドが無期限にスターベーションし、システムがハングする可能性があります。この問題はenableパスがpreempt_disable()からscx_bypass()に切り替わった際に導入されましたが、scx_bypass()はfairクラスのスターベーションを防げません。なお、元のpreempt_disable()の保護も完全ではなく、部分的な切り替えモードにおいてはpreempt_enable()後に呼び出しスレッドがextクラスに切り替わり、スターベーションが発生する可能性がありました。これを修正するため、enableの本体処理をfairクラスまたはextクラスのタスクによってスターベーションされない専用のシステム全体のRT（SCHED_FIFO）kthreadにオフロードします。scx_enable()は初回使用時にkthreadを遅延的に生成し、opsポインタをkthread_workを含むstruct scx_enable_cmd経由で渡し、同期的に完了を待ちます。workfnはsch-helper（disable_workを実行）とは異なるkthread上で動作するため、エラー時のパスでデッドロックなくdisable_workを安全にフラッシュできます。

Linuxカーネルにおいて、以下の脆弱性が修正されました。btrfsでは、btrfs_chunk_map_num_copies()の後にbtrfs_map_block()で発生していたチャンクマップのリークを修正しました。また、btrfs_map_block()内のチャンクマップリークも修正しました。具体的には、-EINVALで早期に戻る場合に直前に参照したチャンクマップを解放していなかった問題を解決しました。

Linuxカーネルにおいて、以下の脆弱性が修正されました：nfsd_nl_listener_set_doit()関数内のcred参照リークを修正しました。nfsd_nl_listener_set_doit()はput_cred()を伴わずにget_current_cred()を使用していました。他の呼び出し元を見ると、svc_xprt_create_from_sa()では追加のリファレンスカウントが不要であることがわかります。nfsd_nl_listener_set_doit()は常にプロセスコンテキスト（sendmsg()）内で実行され、current-credは消失しません。したがって、nfsd_nl_listener_set_doit()ではcurrent_cred()を使用するように変更しました。

Linuxカーネルにおいて、powerpcのperfサブシステムに脆弱性が存在していました。ユーザーコールチェーンを取得する前にcurrent-mmが有効であることを確認していなかったため、mmが既に解放されている場合にカーネルパニックが発生する可能性がありました。本修正ではcurrent-mmに対するNULLチェックを追加して問題を解決し、profiling BPFプログラム実行時のカーネルパニックの発生を防止しています。また、トップレベルのスタックエントリの格納処理をgeneric perf_callchain_userに移動し、current-mmがNULLでもトップレベルのエントリを取得できるようにしています。

Linuxカーネルにおいて、sched/mmcidのvfork()/CLONE_VMの処理に不具合がありました。MatthieuとJiriは、スケジューリング時にmm_get_cid()が無限ループする問題を報告しました。調査の結果、vfork()されたタスクを処理する際にタスクが二重にカウントされ、正しいCIDを取得できずにマシンが停止することが判明しました。この問題は、タスクカウント条件を削除し、タスクリスト全体を正確に走査する方法で修正されました。

Linuxカーネルのsched/mmcidにおいて、同時に発生するforkによるCIDのスタールを防止するための修正が行われました。新たにforkされたタスクはプロセスのスレッドリストおよびグローバルタスクリストに表示される前にMMCIDユーザーとしてカウントされないため、CIDの割り当てに問題が生じ、一部のスケジューリングでスタールが発生する可能性がありました。この問題を解決するために、新しいタスクがスレッドリストおよびタスクリストに表示された後にCIDのカウント処理を移動し、exitの場合と対応する形でCIDユーザーの追加と削除を行うことで、安定した動作を実現しました。

Linuxカーネルにおいて、以下の脆弱性が修正されました：cephのceph_mdsc_build_path()関数におけるメモリリークを修正しました。__getname()で取得した「path」ポインタを解放しなかったエラーコードパスに、__putname()の呼び出しを追加しました。このポインタの所有権がpath_info.pathを介して呼び出し元に渡されない場合、関数は返す前に必ずそれを解放します。

Linuxカーネルにおいて、以下の脆弱性が修正されました。cephの非同期unlink中に発生するi_nlinkアンダーランの問題の修正です。非同期unlinkの間、完了（最終的にi_nlinkを更新する処理）が来る前にi_nlinkカウンターを減少させてしまいます。これは「unlinkが成功すると仮定している」ために起きていました。この方法は悪い考えではありませんが、他のクライアントによる削除（または自身のunlinkの完了）と競合し、以下のようなWARNINGを引き起こすアンダーランとなります。具体的には、WARNING: CPU: 85 PID: 25093 at fs/inode.c:407 drop_nlink+0x50/0x68 という警告が表示されます。ceph_unlink()内ではceph_mdsc_submit_request()がCEPH_MDS_OP_UNLINKのリクエストをMDSに送信しますが、完了を待ちません。この呼び出しと後続のdrop_nlink()呼び出しの間に、ワーカースレッドがCEPH_CAP_OP_IMPORT、CEPH_CAP_OP_GRANT、またはCEPH_MSG_CLIENT_REPLY（自身の完了の可能性あり）を処理する可能性があります。その結果、set_nlink()が呼ばれ、MDSから受け取った値でi_nlinkカウンターが更新されます。もし新しいi_nlinkの値が0の場合、それ以上の減少は違法ですが、ceph_unlink()は減少処理を行ってしまいます。WARNINGは次の手順で再現可能です。1. 非同期unlinkを強制します。非同期経路のみが影響を受けます。Ceph内部の詳細は不明ですが、MDSが「Fxr」権限を与えない理由はわかっていません。そこでget_caps_for_async_unlink()を常に成功するようにパッチしました。（このWARNINGは未パッチのカーネルでも発見されており、理論上のバグではありません。）2. ceph_mdsc_submit_request()の後にsleepを挿入し、unlink完了処理がdrop_nlink()の前にワーカースレッドで処理されるようにします。これによりdrop_nlink()実行前にi_nlinkが既に0となります。解決策としては、カウンターがすでに0の場合は減算をスキップすることですが、ロックなしでは依然として競合状態（TOCTOU問題）が発生します。ceph_fill_inode()とhandle_cap_grant()は共にset_nlink()実行中にceph_inode_info.i_ceph_lockスピンロックを保持しているため、このロックでi_nlinkの更新処理を保護することが適切だと考えられます。類似の先行例としてはNFSやSMB（inode.i_lock使用）、AFS（afs_vnode.cb_lock使用）があり、これらはいずれもゼロチェックを行っています。

Linuxカーネルのusb gadget f_ncmにおいて、net_deviceのライフサイクル管理の不備が修正されました。この不備により、net_deviceが親gadgetデバイスよりも長く存在してしまい、その結果システムファイルシステムのリンク切れやNULLポインタ参照が発生していました。従来の対策は電源管理の問題やDHCPサーバの障害を引き起こしていたため、device_move関数を用いてbind/unbindサイクル中にnet_deviceを適切に再親子付けする方法に変更されました。さらに、USB再接続時にもネットワークインターフェースを維持し、DHCPサーバのバインディングを保持する手法に改められました。これらの変更により、ネットワーク機能の安定性が向上しました。

Linuxカーネルにおいて、USBのレガシーNCMドライバのgncm_bind関数にNULLポインタ参照の脆弱性が修正されました。この脆弱性は、net_deviceが完全に初期化される前にアクセスされることが原因で発生していました。qmult、host_addr、dev_addrの値を適切に管理することで、この問題に対応しました。

Linuxカーネルにおいて、usb: gadget: f_ncmドライバの原子コンテキストでのロック問題が修正されました。ncm_set_alt関数はconfigfsとの競合を避けるためミューテックスを保持していましたが、configfsは原子コンテキストでスリープ可能な関数を呼び出していました。この問題を解決するためにf_ncm_opts構造体からstruct net_deviceポインタを削除し、新しいブール型の接続状態フラグで管理するように変更しました。この修正により、USBエンドポイントのトランスポートエラー後のuse-after-free問題も防止されます。これにより、BUG: 不正なコンテキストからスリープ関数が呼び出される問題が解消されます。

Linuxカーネルにおいて、次の脆弱性が修正されました：rust_binderのonewayスパム検出の修正です。TreeRangeのスパム検出ロジックは、現在のリクエストがツリーに挿入される前に実行されていました。そのため、新しいリクエストがスパム計算に考慮されていませんでした。これを、新しい範囲が挿入された後にロジックを移動することで修正しました。また、ArrayRangeの検出ロジックが完全に欠落しており、大量のスパムトランザクションが検出されない問題がありました。これを、ArrayRangeに同等のlow_oneway_space()を実装することで修正しました。なお、このロジックをRangeAllocatorに集約しようと試みましたが、stateとsizeの反復処理が私には少し複雑すぎたため、この試みは断念しました。

Parse ServerはNode.jsを実行できるあらゆるインフラにデプロイ可能なオープンソースのバックエンドです。8.6.76以前および9.9.0-alpha.2より前のバージョンでは、MFAのSMSワンタイムパスワード（OTP）ログインパスにおいて競合状態が存在しており、同じOTPを含む2つの同時/loginリクエストが両方とも成功し、有効なセッショントークンを両方が受け取ることができました。そのため、OTPの一回限りの使用特性が破られていました。この脆弱性は、攻撃者が既に被害者のパスワードを所持し、アクティブなSMS OTPを傍受（例：SIMスワップ、ネットワークミラー、フィッシング中継）し、正当なログイン要求と競合させる必要があるため、実際の攻撃範囲は狭いです。この脆弱性は8.6.76および9.9.0-alpha.2で修正されました。

Apache CXFのWS-Transferモジュールにおいて、安全でないXMLパーサーの設定によって攻撃者がXXE攻撃を実行する可能性があります。本問題を修正したバージョン4.2.1、4.1.6、または3.6.11にアップグレードすることを推奨します。

Snipe-ITはIT資産およびライセンス管理システムです。8.4.1以前のバージョンでは、コンポーネントの表示権限を持つユーザーが、エスケープされていないノート列によりクロスサイトスクリプティング（XSS）の影響を受ける可能性がありました。この脆弱性はバージョン8.4.1で修正されています。