脆弱性情報（JVN）検索・一覧

OpenEXRは、映画産業向けの画像保存形式であるEXRファイル形式の仕様およびリファレンス実装を提供します。バージョン3.0.0から3.2.9未満、3.3.0から3.3.11未満、および3.4.0から3.4.11未満において、ImageChannel::resize関数に整数オーバーフローが存在します。これによりOpenEXRUtilの公開APIを介してヒープの範囲外書き込み（OOB書き込み）が発生する可能性があります。この問題はバージョン3.2.9、3.3.11、および3.4.11で修正されています。

Istioは、マイクロサービスを接続、管理、および保護するためのオープンプラットフォームです。バージョン1.28.6および1.29.2以前では、RequestAuthenticationリソースが内部サービスを指すjwksUriで作成された場合、istiodはlocalhostやリンクローカルIPを除外せずにそのURLに対して認証なしのHTTP GETリクエストを送信します。これにより、xDS構成を介して機密データがEnvoyプロキシに配布される可能性があります。この問題はバージョン1.28.6および1.29.2で修正されています。

PraisonAIはマルチエージェントチームシステムです。praisonaiバージョン4.6.9およびpraisonaiagentsバージョン1.6.9以前では、SQLiteConversationStoreにのみ入力検証が追加されていましたが、MySQL、PostgreSQL、非同期SQLite/MySQL/PostgreSQL、Turso、SingleStore、Supabase、SurrealDBの9つの姉妹バックエンドはtable_prefixをそのままf文字列SQLに渡していました。同一の根本原因、コードパターン、および悪用方法が存在し、コードベース全体で52の未検証インジェクションポイントがありました。postgres.pyはさらにDDLに直接使用される未検証のスキーマパラメータも受け入れていました。この問題はpraisonaiバージョン4.6.9およびpraisonaiagentsバージョン1.6.9で修正されました。

PHPUnitはPHP用のテストフレームワークです。バージョン12.5.21および13.1.5では、PHPUnitはPHPのINI設定を子プロセス（孤立したPHPTテスト実行に使用）に-d name=valueのコマンドライン引数として渡しますが、INIのメタ文字を無効化していません。PHPのINIパーサは"を文字列デリミタとして、;をコメントの開始として、そして特に改行をディレクティブの区切りとして解釈するため、改行を含む値は子プロセスで複数のINIディレクティブとして解析されます。攻撃者が単一のINI値を操作できる場合、子プロセスの設定に対してauto_prepend_file、extension、disable_functions、open_basedirなどの任意の追加ディレクティブを注入できます。攻撃者が制御するパスにauto_prepend_fileを設定すると、子プロセスでリモートコード実行が可能になります。この問題はバージョン12.5.22および13.1.6で修正されました。

ZEBRAはRustで完全に書かれたZcashノードです。zebradバージョン4.3.1以前およびzebra-chainバージョン6.0.2以前のバージョンでは、Orchardトランザクションにrkフィールドが含まれており、これはランダム化された検証キーで楕円曲線上の点でもあります。Zcashの仕様ではこのフィールドが恒等元（「ゼロ」値）であっても許容されていますが、Orchardの証明を検証するために使用されるorchardクレートは、rkが恒等元の値である場合にパニックを起こしてしまいます。したがって、攻撃者は細工されたトランザクションを送信することでZebraノードをクラッシュさせることができました。この問題はzebradバージョン4.3.1およびzebra-chainバージョン6.0.2で修正されました。

OpenC3 COSMOSは、1つまたは複数の組み込みシステムにコマンドを送信し、データを受信するために必要な機能を提供します。バージョン6.10.5および7.0.0-rc3より前のバージョンでは、OpenC3のパスワード変更機能が、古いパスワードを提供することなく有効なセッショントークンを受け入れることでパスワードを変更できる仕様になっていました。侵害が想定されるシナリオにおいて、この動作は既に有効なセッショントークンを入手している攻撃者によって悪用され、乗っ取られたアカウント（管理者アカウントを含む）に永続的にアクセス権を得たり、正当なユーザーがアカウントにアクセスすることを防ぐことが可能となります。この問題はバージョン6.10.5および7.0.0-rc3で修正されています。

LiteLLMはOpenAI（またはネイティブ）形式のLLM APIを呼び出すためのプロキシサーバー（AIゲートウェイ）です。バージョン1.74.2から1.83.7未満の間、MCPサーバーを保存前にプレビューするために使用される2つのエンドポイント ― POST /mcp-rest/test/connection および POST /mcp-rest/test/tools/list ― は、stdioトランスポートで使用されるcommand、args、およびenvフィールドを含む完全なサーバー構成をリクエストボディで受け入れていました。stdio構成で呼び出された場合、これらのエンドポイントは接続を試み、指定されたコマンドをプロキシホスト上でプロキシプロセスの権限でサブプロセスとして起動しました。これらのエンドポイントは有効なプロキシAPIキーによってのみアクセスが制御されており、役割チェックがありませんでした。そのため、低権限の内部ユーザーキー所有者を含む認証済みユーザーは任意のコマンドをホスト上で実行できました。この問題はバージョン1.83.7で修正されました。

zrokはウェブサービス、ファイル、およびネットワークリソースを共有するためのソフトウェアです。バージョン2.0.2以前のzrok WebDAVドライブバックエンド（davServer.Dir）は、パストラバーサルを防ぐためにレキシカル正規化を行いますが、シンボリックリンクの追従を防止していません。共有されているDriveRoot内のシンボリックリンクがルート外の場所を指している場合、リモートのWebDAVクライアントはファイルを読み取ることができます。また、OSレベルの権限制限がない共有環境では、zrokプロセスがアクセス可能なホストファイルシステムの任意の場所にファイルを書き込んだり上書きしたりすることが可能です。この問題はバージョン2.0.2で修正されました。

Azure DevOpsにおける機密情報への不正アクセスにより、不正な攻撃者がネットワークを介して情報を漏洩させる可能性があります。

Linuxカーネルにおいて、以下の脆弱性が修正されました。Bluetoothのhci_eventにあるhci_le_remote_conn_param_req_evtにおける潜在的なUse-After-Free（UAF）が修正されました。hci_le_remote_conn_param_req_evt内でのhci_connの参照とフィールドアクセスは、hdevロックで保護される必要があります。保護されていなければ、同時に解放される可能性があります。hci_dev_lockのクリティカルセクションを拡張し、すべてのconnの使用をカバーするように対応しました。

Linuxカーネルにおいて、以下の脆弱性が修正されました：Bluetoothのhci_connに関するset_cig_params_sync関数内での潜在的なUse-After-Free（UAF）問題を修正しました。set_cig_params_sync内でhci_connの参照およびフィールドアクセスは、必ずhdevロックで保護する必要があります。そうしなければ、同時に解放される可能性があります。hdevロックを取得することで、hci_connが同時に削除または変更されるのを防止します。RCUロックだけでは不十分であり、設定の破綻（tearing）も防止しなければなりません。

Linuxカーネルにおいて、以下の脆弱性が修正されました。BluetoothのMGMTにおいて、LTKのenc_sizeをロード時に検証します。Long Term Keysのロードでは、ユーザーが提供したenc_sizeを保存し、その後LE LTKリクエストに応答する際の固定サイズスタック操作のサイズ決定に使用します。16バイトのキー用バッファより大きいenc_sizeは返信スタックバッファをオーバーフローさせる可能性があります。マネジメントLTKレコードを検証する際に過大なenc_size値を拒否し、不正なキーが保存されたキー状態に到達しないように対策を講じています。

Linuxカーネルにおいて、BluetoothのSCOソケット接続処理に存在する競合状態の脆弱性が修正されました。この脆弱性は、sco_sock_connect()関数がソケットロックを保持せずにソケット状態（sk_state）やタイプ（sk_type）をチェックしたため、同じソケットに対して複数の同時connect()システムコールが競合し、use-after-freeが発生する可能性があることに起因します。この問題は、状態変化の検証不足や接続オブジェクトの管理不備によって引き起こされており、競合により二重解放とメモリ破壊が発生することがあります。修正では、ソケットロック取得のタイミングを見直し、状態の再チェックや接続オブジェクトを正しく管理することで問題を防止しました。

Linuxカーネルのnetfilterのctnetlinkサブシステムに存在する脆弱性が修正されました。この脆弱性は、新しい期待値に対して明示的なヘルパーを無視する不具合に起因し、期待値の検証時に境界外のカーネルメモリを読み取る可能性がありました。この問題は、既存のマスターコネクトラックヘルパーのみを使用し、それ以外のユーザー空間によるヘルパーの提案を無視することで解決されました。これにより、カーネルのメモリ安全性が向上しました。CTA_EXPECT_HELP_NAMEは引き続きnetlinkダンプを通じてユーザー空間にヘルパー名を提供するために使用されています。

Linuxカーネルにおいて、以下の脆弱性が修正されました。netfilterのnf_conntrack_helperでは、期待値のクリーンアップにヘルパーを渡す処理に問題がありました。nf_conntrack_helper_unregister()は、登録解除されるヘルパーに属する期待値を削除するためにnf_ct_expect_iterate_destroy()を呼び出します。しかし、data引数としてヘルパーポインタの代わりにNULLを渡すため、expect_iter_me()はどの期待値とも一致せず、すべての期待値がクリーンアップされずに残ります。登録解除が完了すると、nfnl_cthelper_del()はヘルパーオブジェクトを直ちに解放します。その後の期待値ダンプやパケット駆動のinit_conntrack()呼び出しが解放済みのexp-helperを参照し、use-after-freeが発生します。期待値が正しく破棄されるよう、実際のヘルパーポインタを渡してからヘルパーオブジェクトを解放するように修正しました。バグ詳細として、BUG: KASAN: slab-use-after-freeがstring+0x38f/0x430で検出されました。アドレスffff888003b14d20のサイズ1の読み取り処理はタスクpoc/103によって行われました。コールトレースはstring+0x38f/0x430、vsnprintf+0x3cc/0x1170、seq_printf+0x17a/0x240、exp_seq_show+0x2e5/0x560、seq_read_iter+0x419/0x1280、proc_reg_read+0x1ac/0x270、vfs_read+0x179/0x930、ksys_read+0xef/0x1c0の順です。解放したタスク103は、問題のアドレスが解放された192バイト領域[ffff888003b14d00, ffff888003b14dc0)の内側32バイトに位置していることを示しています。

Linuxカーネルにおいて、以下の脆弱性が解決されました。netfilterのx_tablesにおいて、名前がヌル終端されていることを保証します。ヌル文字（\0）が含まれていない名前は、C文字列を期待する関数に渡す前に拒否されます。修正タグは、この変更を必要とする最新のコミットを示しています。

Linuxカーネルにおいて、mptcp_recvmsg()関数使用時にソフトロックアップが発生する脆弱性が修正されました。この問題はMSG_PEEKとMSG_WAITALLフラグを組み合わせてデータを受信すると、skbが受信キューから正しく削除されず、sk_wait_data()が無限ループに陥るため発生します。修正では最後にpeekされたskbを追跡し、適切に待機を行うことでソフトロックアップの発生を防止しています。

Linuxカーネルにおいて、以下の脆弱性が修正されました：bpfにおけるパケットへのポインタに対するregsafe()の修正です。rold-reg-rangeがBEYOND_PKT_ENDであり、かつrcur-reg-rangeがNの場合、regsafe()がtrueを返す可能性がありました。その結果、有効なパケット範囲を持つ現在の状態が探索されない問題が発生していました。このバグを修正しました。

Linuxカーネルにおいて、以下の脆弱性が修正されました: net: xilinx: axienetの複数BDのTXパケットに対するBQL計算の問題を修正しました。TXパケットが複数のバッファ記述子（scatter-gather）に渡る場合、axienet_free_tx_chainはディスクリプターのステータスからBD毎の実際の長さを呼び出し元のアキュムレータに加算します。この合計は各NAPIポーリング時にリセットされます。単一パケットのBDが異なるポーリングで完了すると、前のバイト数が失われてBQLに加算されません。これによりBQLはバイトが永続的にインフライト状態だと誤認し、最終的にTXキューが停止します。SKBポインタはパケットの最後のBDのみに保存され、そのBD完了時にはBD毎のステータス長を合算する代わりにskb-lenをバイト数として使用します。これはnetdev_sent_queue()の挙動と一致し、部分パケットがアキュムレータに加算されないため、ポーリングを跨いでも正しく動作します。

Linuxカーネルにおいて、crypto: authencesnモジュールのout-of-place復号化時にhiseqをdstの末尾に誤って配置してしまう問題が修正されました。in-placeでないデータ復号化の場合、高位シーケンスビットをdstに保存する必要はなく、元のソースから再度コピーすれば十分です。また、ハッシュ処理用のデータも適切に再配置されなければなりません。

Linuxカーネルにおいて、以下の脆弱性が修正されました。net: ipv6: ndisc: ndisc_ra_useropt関数でnduseropt_padXフィールドをゼロ初期化して情報漏洩を防止します。ルーター広告のユーザーオプションを処理する際に、カーネルはRTM_NEWNDUSEROPTのnetlinkメッセージを構築します。nduseroptmsg構造体には3つのパディングフィールドがあり、これらはゼロ初期化されなかったため、カーネルデータが漏洩する可能性がありました。修正は簡単で、パディングフィールドをゼロクリアする処置を行います。

Linuxカーネルにおいて、以下の脆弱性が修正されました。mplsのplatform_labelペアを保護するためにseqcountが追加されました。RCU保護されたコードパス（mpls_forward、mpls_dump_routes）は、同時リサイズ（platform_mutexの下でのresize_platform_label_table）が発生した場合にplatform_labelsとplatform_labelの不整合な表示が起こる可能性があります。この不整合により、境界外アクセス（OOB）が発生する恐れがあります。このパッチはseqcountを追加し、一貫したスナップショットが取得できるようにします。なお、mpls_label_okも影響を受けるため、platform_mutexの外で行われるrtm_to_route_configのRTA_DSTに対するチェックは十分ではありません。この値はmpls_route_addおよびmpls_route_delの両方で再度mpls_label_okに渡されるため問題はありませんが、追加のチェックを削除してはいけません。

Linuxカーネルのcrypto: caamにおいて、長いHMACキーが供給された際にDMAメモリ破損が発生する脆弱性を修正しました。この問題は、HMACキーのコピー用に割り当てられたメモリがDMAキャッシュ整列に丸められていなかったために発生し、その結果、隣接するメモリが破損する可能性がありました。修正では、大きなバッファ用のメモリ確保方法をkmemdupからkmallocに変更し、その後memcpyでコピーすることでこの問題に対処しています。

Linuxカーネルにおいて、wifi: brcmfmacドライバのIFイベント内でbsscfgインデックスが不適切に検証されていた問題が修正されました。brcmf_fweh_handle_if_event()関数は、ファームウェアから提供されたインターフェイスインデックスを配列インデックスとして使用する前に十分な範囲チェックを行わなかったため、不正なアクセスが発生する可能性がありました。この脆弱性はdrvr-iflist[]配列のインデックスが不正な場合に発生するため、bsscfgインデックスが適切な範囲内にあるかどうかを検証し、範囲外のIFイベントを拒否するように修正されました。また、wifiプレフィックスも追加されました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。HID: roccatのroccat_report_event内のuse-after-freeの問題を修正しました。roccat_report_event()はreaders_lockを保持せずにdevice-readersリストをイテレートしていました。このため、同時にroccat_release()がリーダーを削除および解放する可能性があり、アクセス中にuse-after-freeが発生していました。readers_lockミューテックスでreadersリストの走査を保護するようにしました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。fs/smb/clientのcifs_sanitize_prepath関数内で発生していた境界外読み取りの問題です。cifs_sanitize_prepathが空文字列または区切り文字のみ（例："/"）を含む文字列で呼び出された場合、現在のロジックはcursor2が進む前に*(cursor2 - 1)をチェックしようとし、その結果境界外読み取りが発生しました。このパッチでは、先頭の区切り文字を取り除いた後に早期終了チェックを追加し、パスの内容が残っていなければ関数はNULLを返すように修正しています。このバグは手動監査によって特定され、AddressSanitizerでコンパイルしたスタンドアロンのテストケースを用いて検証され、影響を受ける入力でSEGVが発生することを確認しました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。wifi: wl1251で、tx_framesにインデックスを付ける前にパケットIDを検証する必要があります。wl1251_tx_packet_cb()関数は、ファームウェアの完了IDを固定16エントリーのwl-tx_frames[]配列のインデックスとして直接使用していました。このIDは完了ブロックからの生のu8であり、コールバックは現在、それが配列の範囲内にあることを検証せずに参照していました。修正では、wl-tx_frames[]の範囲外にある完了IDを拒否し、同じガード内で既存のNULLチェックを維持しています。これにより修正は信頼境界内に局所化され、残りの完了フローには影響しません。

Linuxカーネルにおいて、以下の脆弱性が解決されました。netfilterのctnetlinkに関連し、マスターconntrackへの安全なアクセスを保証することが重要です。期待オブジェクトへの参照を保持するだけでは不十分であり、マスターconntrackオブジェクトが消失してexp-masterが無効になる可能性があります。exp-masterに安全にアクセスするためには、nf_conntrack_expect_lockを取得する必要があります。このロックは、マスターconntrackが消失する際に同時に保持されるclean_from_lists()と整合しています。また、nf_conntrack_find_get()を用いてマスターconntrackへの参照を保持する必要がありますが、既存の問題のあるパスではマスターconntrackを検索するためのマスタータプルが利用できず、容易ではありません。今回のパッチでは問題を単純化するためにnf_conntrack_expect_lockの範囲を拡張し、以下で説明するケースではロック範囲を若干拡大する形にしています。期待オブジェクトの追加コマンドは、すでにctnetlink_create_expect()からマスターconntrackへの参照を保持しています。しかし、期待オブジェクトの削除コマンドでは探索の前にスピンロックを取得する必要があり、期待オブジェクトの探索をカバーするために既存のスピンロック範囲を拡大しています。なお、nf_ct_expect_iterate_net()は期待オブジェクトテーブルを反復中にすでにスピンロックを取得しており、これは正しい動作です。期待オブジェクトの取得コマンドは、マスターconntrackが消失しないようにスピンロックを取得し、探索をカバーするために既存のスピンロック範囲を拡大しています。GFP_KERNELを維持するために、netlink skbの割り当てはスピンロックの外に移動しました。期待イベントについては、IPEXP_DESTROYイベントはすでにスピンロック下で配信されているため、マスターconntrackのイベントキャッシュがexp-masterを通じてアクセスされます。そのため、IPEXP_NEWの配信もスピンロック下に移動しました。加えて、ロックデバッグを支援するためにロック依存性注釈を追加し、どのコードパスがスピンロックを取得する必要があるかを識別しやすくしています。

Linuxカーネルにおいて、以下の脆弱性が修正されました。ALSAミキサーのOSSカード切断に関するチェックポイントが追加されました。ALSA OSSミキサーレイヤーはkcontrol opsを個別に呼び出すため、デバイス切断時に保留中の呼び出しが常に検出されるわけではありません。この問題を解決するために、潜在的なUse-After-Free（UAF）シナリオを回避するために、OSSミキサーアクセスの各エントリーポイントでカード切断の整合性チェックを追加しました。rwsemはそのチェック直前に取得されるため、それ以降のコンテキストは適切にカバーされるはずです。

Linuxカーネルにおいて、以下の脆弱性が修正されました。RDMA/umemに関して、失敗パスでのdma_buf_unpinが二重に呼び出される問題を修正しました。ib_umem_dmabuf_get_pinned_with_dma_device()内でib_umem_dmabuf_map_pages()の呼び出しが失敗する可能性があります。この場合、dmabufは即座にアンピンされますが、umem_dmabuf-pinnedフラグはまだ設定されたままでした。その後、ib_umem_release()が呼ばれると、ib_umem_dmabuf_revoke()を呼び出し、再度dma_buf_unpin()が呼び出されます。この問題を修正するために、失敗時の即時アンピンを削除し、ib_umem_releaseやib_umem_dmabuf_revokeの経路に処理を任せるようにしました。これにより、dma_resv_wait_timeoutでdmabuf_map_pages呼び出しが失敗した場合（したがってumem_dmabuf-sgtがNULLでない場合）でも、適切なアンマップからアンピンへの順序が保証されるようになりました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。KVM:nSVMに関して、VMLOAD/VMSAVEのエミュレーション時に常にvmcb01を使用するようになりました。コミットcc3ed80ae69f（"KVM: nSVM: always use vmcb01 to for vmsave/vmload of guest state"）により、VMSAVE/VMLOADで制御されるフィールドに対して、KVMは常にvmcb01を使用するようになりました。しかし、VMLOAD/VMSAVEのエミュレーションコードで常にvmcb01を使用するように更新する部分が見落とされていました。その結果、L2ゲストがVMSAVE/VMLOADを実行し、L1によってインターセプトされない場合、KVMは誤ってvmcb02を使用してしまいます。この問題は、常に現在のVMCBではなくvmcb01を使用するように修正されました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。media: verisilicon: AV1におけるタイル情報バッファサイズの修正が行われました。各タイル情報は、row_sb、col_sb、start_pos、およびend_pos（各4バイト）で構成されています。したがって、必要な総メモリサイズはAV1_MAX_TILESに16バイトを掛けたものです。正しい#defineを使用してバッファを割り当てることで、割り当てられていないメモリにタイル情報を書き込むことを回避しました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。net/rdsでは、RDS_CONN_ERRORからのショートカットが存在しません。RDS接続は状態「rds_conn_path::cp_state」を持ち、状態間の遷移は期待される状態「rds_conn_path_transition」に基づいて条件付きで行われます。ただし、この条件には例外があり、「RDS_CONN_ERROR」は現在の状態に関係なく「rds_conn_path_drop」によって強制されます。しかし、接続が「RDS_CONN_ERROR」状態になると、接続処理コードはシャットダウン経路を通ることを期待します。RDS/TCPマルチパスの変更により、「rds_tcp_accept_one_path」（例：「rds_tcp_state_change」の後）を介して「RDS_CONN_ERROR」から直接「RDS_CONN_CONNECTING」へのショートカットが追加されました。その後、「rds_tcp_reset_callbacks」によって状態が「RDS_CONN_RESETTING」に遷移し、シャットダウンワーカーがキューに入れられます。これにより、「rds_conn_init_shutdown」が「RDS_CONN_RESETTING」を処理するよう調整されていなかったため誤動作し、「DR_INV_CONN_STATE」のエラーで接続を切断し、「RDS_SHUTDOWN_WORK_QUEUED」が永続してしまいます。対策として、(a)「RDS_CONN_ERROR」からのショートカットを行わず、シャットダウンコードを通る長い経路を採用しました。(b)「rds_conn_init_shutdown」で期待される状態に「RDS_CONN_RESETTING」を追加し、このような異常な状態遷移が再発してもエラーにならずにハングアップしないようにしました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。net/rdsに関して、再接続保留ビットをクリアする際には、再接続ワーカーをキャンセルする必要があります。もし再接続ワーカーがキャンセルされる前にまだスケジュールされていなかった場合、再接続保留ビットが永遠にオンのままになる恐れがあります。

Linuxカーネルにおいて、以下の脆弱性が修正されました：bnxt_enにおけるRSSコンテキスト削除ロジックの修正です。ドライバ内でRSSコンテキストが削除されるたびに、対応するRSSコンテキストVNICをFW側で解放する必要があります。コミット667ac333dbb7では、インターフェースがダウンしている場合のRSSコンテキスト削除を支援するために、netif_running()がtrueのときのみFW側のVNICを削除するチェックを追加しました。しかし、この条件があると、クローズ時にアクティブなRSSコンテキストがある場合にドライバがFW側のVNICをリークしてしまいます。次回のオープン時にRSSコンテキストの復元の一環として、予約していない余分なVNICを作成しようとするため、FWがこの要求を拒否し、アクティブなRSSコンテキストを失う可能性があります。もし既にRSSコンテキストが削除されている場合に再度削除要求を処理しても、HWRM関数はリクエストの有効性をチェックし、リソースが既に解放されていれば単に戻るため、ダウン時の削除でもnetif_running()のチェックは不要です。したがって、RSSコンテキスト削除時のnetif_running()の条件チェックを削除しました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。media: chips-media: wave5: flusterをテスト中に発生したNull参照の不具合を修正しました。複数のインスタンスが作成および破棄される際に多数の割り込みが発生し、デコーダの構造体が誤って削除されていました。"struct vpu_instance"はデコーダ内のすべてのフローで共有される構造体であり、この構造体がロックで保護されていない場合にNull参照が時折発生する可能性がありました。IRQハンドラは二つのフェーズに分割され、さらにロックも追加されて問題に対処しました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。mailbox: mchp-ipc-sbiのmchp_ipc_get_cluster_aggr_irq()関数における範囲外アクセスの問題を修正しました。cluster_cfg配列はオンラインCPUの数に基づいて各CPUごとの構成構造体を格納するために動的に割り当てられます。従来、この配列はhartidをインデックスとして使用していましたが、hartidは連続していなかったり配列の範囲を超える可能性があり、範囲外アクセスが発生していました。有効な範囲が保証されているfor_each_online_cpu()によって提供されるcpuidをインデックスとして使用するように変更しました。

Linuxカーネルにおいて、net: manaドライバのサービス再スキャンPCIパスでworkqueueの二重破壊に起因するuse-after-freeの脆弱性が修正されました。mana_serv_reset()がmana_gd_suspend()を呼び出す際にmana_gd_cleanup()がservice_wqを破壊し、その後mana_gd_resume()が失敗すると、pci_stop_and_remove_bus_device()がmana_gd_remove()経由で再度mana_gd_cleanup()を呼び出して解放済みのworkqueueを破壊していました。この問題はmana_gd_cleanup()内でservice_wqがNULLかどうかを確認し、破壊後にNULLに設定することで修正されました。

Linuxカーネルにおいて、以下の脆弱性が修正されました：dmにおいて、最後のクローンされたbioが完了したときにクローンリクエストのbioポインタがクリアされない問題がありました。スタルなrq-bio値が存在すると、リクエストベースのデバイスマッパターゲットでクローンされたbioの二重初期化が発生し、その結果、use-after-freeや二重解放のシナリオが生じていました。例えば、PCIe NVMeネームスペース上でdm-multipathを使用している場合、blk_complete_request()でクローンされたリクエストbioが解放されますが、rq-bioはそのまま残ります。その後のクローンの解体処理がblk_rq_unprep_clone()を介して同じbioを再度解放しようとします。二重解放のパスは以下のとおりです：nvme_pci_complete_batch() → nvme_complete_batch() → blk_mq_end_request_batch() → blk_complete_request()（DMクローンリクエストに対して呼び出される）→ bio_endio()（すべてのクローンbioの最初の解放）→ rq-end_io()（end_clone_request()）→ dm_complete_request(tio-orig) → dm_softirq_done() → dm_done() → dm_end_request() → blk_rq_unprep_clone()（クローンbioの2回目の解放）。この問題は、最後のクローンされたbioが完了した際にクローンリクエストのbioポインタをクリアすることで修正され、後続の解体処理がすでに解放されたbioを再度解放しようとしないようにしています。

Linuxカーネルにおいて、以下の脆弱性が修正されました。ALSAのusb-audioにおいて、サイレンシング時のOOB書き込みに対する整合性チェックが追加されました。実際の再生前に暗黙のfbモードで再生URBパケットをサイレンシングする際に、受信したパケットがバッファサイズに合っていると盲目的に仮定していました。しかし、キャプチャストリームの設定が再生ストリームと異なる場合（例: USBコアの最大パケットサイズ制限による）には、その不整合によりバッファへのOOB書き込みが発生し、クラッシュを引き起こす可能性があります。これに対処するため、prepare_silent_urb()で転送バッファサイズの整合性チェックを追加し、受信データがオーバーフローした場合にデータのコピーを停止します。また、転送エラーも適切に報告するようにしました。なお、これは再生エラーの根本原因を修正するものではなく、カーネルのOopsを防ぐための処置です。