脆弱性情報（JVN）検索・一覧

Linuxカーネルにおいて、以下の脆弱性が修正されました。misc: fastrpc: cctx-remote_heap の二重解放の可能性があります。fastrpc_init_create_static_process() は err_map パスで cctx-remote_heap を解放する可能性がありますが、ポインタをクリアしません。そのため、その後 fastrpc_rpmsg_remove() は cctx-remote_heap が NULL でなければ再度解放を行います。その結果、INIT_CREATE_STATIC ioctl がエラーパスに入り、その後 rpmsg デバイスが削除またはバインド解除されると二重解放が発生する恐れがあります。エラーパスで解放後に cctx-remote_heap をクリアし、後のクリーンアップ時に再度解放されるのを防止します。この問題は、ASTベースの情報を抽出し静的チェックを実行する社内分析ワークフローで発見され、LLM支援による選別を経て手動コードレビューで確認されました。ただし、ハードウェアテストは実施されていません。

Linuxカーネルにおいて、以下の脆弱性が修正されました：thermal: coreにおけるサーマルゾーンの削除競合状態とレジュームの競合の問題を解決しました。thermal_zone_pm_complete()およびthermal_zone_device_resume()は、該当するサーマルゾーンのpoll_queue遅延作業を再初期化します。しかし、thermal_zone_device_unregister()内のcancel_delayed_work_sync()は既に実行中の作業アイテムを見逃す可能性があり、結果としてサーマルゾーンが早期に解放されることがあります[1]。失敗シナリオは2つあり、どちらもthermal_pm_notify_complete()が実行された直後にサーマルゾーンの1つに対してthermal_zone_device_unregister()が呼び出されることから始まります。最初のシナリオでは、thermal_pm_notify_complete()が該当するサーマルゾーンに対してthermal_zone_pm_complete()を呼び出した時点ですでに作業アイテムが実行中であり、その作業はthermal_zone_device_unregister()の開始時も継続しています。thermal_pm_notify_complete()によってpoll_queue遅延作業が再初期化されているため、thermal_zone_device_unregister()のcancel_delayed_work_sync()は実行中の作業アイテムを見逃し、その作業がサーマルゾーンオブジェクトの解放後も継続するためUse-After-Freeの問題が発生します。2つ目のシナリオでは、thermal_pm_notify_complete()によってキューに入れられたthermal_zone_device_resume()が、thermal_zone_device_unregister()によって呼び出されたthermal_zone_exit()が終了した直後に実行されます。poll_queue遅延作業はthermal_zone_device_resume()によって再初期化され、その後thermal_zone_device_unregister()がcancel_delayed_work_sync()を呼び出しますが、そのタイミングで遅延作業は継続して実行され、サーマルゾーンオブジェクトの解放後の動作となり、これもUse-After-Freeにつながります。最初の失敗シナリオでは、thermal_pm_notify_complete()が呼ばれる際にサーマル作業アイテムが実行中でないことを保証する対応を行いました。まずthermal_zone_pm_complete()からcancel_delayed_work()の呼び出しをthermal_zone_pm_prepare()へ移動し、その後新規作業が作業キューに追加されないようにしました。次にサーマルイベント専用の作業キューを使用するよう切り替え、thermal_pm_notify()内のコードもthermal_pm_notify_prepare()の戻り後にその専用作業キューをフラッシュする処理に更新し、残っているサーマル作業の処理を完了させました（残作業はすべてのサーマルゾーンがサスペンド状態であるため、意味のある処理は行いません）。2つ目の失敗シナリオでは、thermal_zone_device_resume()にtz-stateチェックを追加し、サーマルゾーンが消去される場合にpoll_queue遅延作業の再初期化を防止する対策を実施しました。なお、これらの変更はサーマルゾーンのサスペンド・レジューム処理をデバイスのサスペンド・レジューム処理により近い位置に移動することも促進します。

Linuxカーネルにおいて、次の脆弱性が修正されました。iommuptに関して、大きなマッピングの中にアンマップの終了点がある場合の短い集約の問題が修正されました。unmapは要求以上をアンマップするという不自然な動作があり、大きなまたは連続したIOPTEの途中に終了点がある場合にこれが発生していました。この場合、集約は要求された範囲以上にアンマップされたすべての部分をフラッシュする必要がありましたが、実際には要求された範囲のみをフラッシュしており、追加の範囲には拡張されていませんでした。そのため、この特別な条件に遭遇した呼び出し元で短い無効化が発生していました。この問題は、ARMv8の準備として追加された新しい無効化および集約のテストによって発見され、Claudeが根本原因を推測しました。私の記憶では、大きなエントリのアンマップに依存するものはなく、したがってこれはおそらく実行可能なバグではありません。

Linuxカーネルにおいて、crypto: tegraドライバがCRYPTO_ALG_ASYNCを設定していなかったためにクラッシュが発生する脆弱性が修正されました。これにより、非同期アルゴリズムとして正しく扱うことが可能になりました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。vt：リサイズ後の代替スクリーン退出時に古いUnicodeバッファを破棄しない問題です。enter_alt_screen()がvc_uni_linesをvc_saved_uni_linesに保存し、vc_uni_linesをNULLに設定すると、その後vc_do_resize()によるコンソールのリサイズ時にvc_uni_linesがNULLのためUnicodeバッファの再割り当てがスキップされます。しかし、vc_saved_uni_linesは元のサイズで割り当てられた古いバッファを指し続けます。後にleave_alt_screen()がvc_saved_uni_linesを復元すると、バッファの寸法がvc_rows/vc_colsと一致しません。現在の寸法を使用してUnicodeバッファを走査する操作（例：画面をクリアするcsi_J）は境界外のメモリアクセスを行い、カーネルのoopsを引き起こします。障害アドレス0x0000002000000020は、2つの隣接するu32スペース文字(0x20)がポインタとして解釈されたものであり、80x25向けに割り当てられたバッファの25エントリポインタ配列の後ろの行データ領域から読み取られていますが、240x67の寸法でアクセスされました。この問題は、代替スクリーン中にコンソールの寸法が変わったかどうかをチェックし、変わっていれば古い保存済みバッファを復元せずに解放することで修正されました。Unicodeスクリーンは次回必要となった際にvc_uniscr_check()により遅延再構築されます。

Linuxカーネルにおいて、以下の脆弱性が修正されました：nvmemのzynqmp_nvmemにおけるDMAおよびmemcpyのバッファサイズの問題です。DMA割り当ておよびmemcpyで使用されていたバッファサイズが誤っていたため、サイズ不足のDMAバッファアクセスおよび潜在的なメモリ破損を引き起こす可能性がありました。これを受けて、dma_alloc_coherentおよびmemcpyで正しいバッファサイズを使用するように修正しました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。reset: gpioのreset_add_gpio_aux_device()におけるエラーパスでのダブルフリーの問題を修正しました。__auxiliary_device_add()が失敗した場合、reset_add_gpio_aux_device()はauxiliary_device_uninit(adev)を呼び出します。デバイスのリリースコールバックであるreset_gpio_aux_device_release()がadevを解放しますが、現在のエラーパスではその後に再度kfree(adev)が呼び出され、ダブルフリーが発生していました。auxiliary_device_init()の失敗パスではkfree(adev)を保持しつつ、auxiliary_device_uninit()の後にはadevを解放しないように修正しました。

Linuxカーネルにおいて、以下の脆弱性が修正されました：comedi: me4000のファームウェアバッファに潜在的なオーバーランが存在していた問題です。`me4000_xilinx_download()`関数は`request_firmware()`で要求されたファームウェアを読み込みますが、ファイル形式を盲目的に信用していたため、ソースバッファがオーバーランする可能性がありました。最初の4バイトからデータストリームの長さを`file_length`変数に読み込み、オフセット16以降からその長さ分のデータストリーム内容を読み取ります。供給されたファームウェアがヘッダーとデータストリームを含むのに十分な長さであることを確認するテストを追加しました。テストに失敗した場合はエラーをログに記録し、`-EINVAL`を返します。注：ファームウェアの読み込みはコミットac584af59945（"staging: comedi: me4000: fix firmware downloading"）以前は完全に壊れていましたが、この修正が最も妥当な対応です。

Linuxカーネルにおいて、以下の脆弱性が修正されました：comedi: me_daq: ファームウェアバッファの潜在的なオーバーランの修正です。`me2600_xilinx_download()` 関数は `request_firmware()` で要求されたファームウェアを読み込みます。この関数はファイル形式を無条件に信用していたため、ソースバッファのオーバーランが発生する可能性がありました。最初の4バイトからデータストリームの長さを `file_length` 変数に読み込み、16バイト目以降から `file_length` バイトのデータストリーム内容を読み込みます。ファームウェアが少なくとも16バイト以上であることはチェックしていましたが、データストリームを含むのに十分な長さかどうかはチェックしていませんでした。そのため、ヘッダーとデータストリームを含むのに十分な長さであるかどうかを検証するテストを追加しました。検証に失敗した場合はエラーをログに記録し、 `-EINVAL` を返すようにしました。

認証済みのSQLインジェクションの脆弱性（CWE-89）が、Kohaのスタッフインターフェースの/cgi-bin/koha/suggestion/suggestion.plエンドポイントに存在しています。この脆弱性は、GetDistinctValues機能で使用されるdisplaybyパラメータの不適切な検証に起因します。権限の低いスタッフユーザーは、このパラメータに細工されたリクエストを送信することで任意のSQLクエリを注入でき、意図しないSQL文を実行し、機密データベース情報が漏洩する可能性があります。攻撃が成功すると、バックエンドデータベースの完全な乗っ取りや、保存されたデータの開示・改ざんが引き起こされる可能性があります。

SQL ServerにおけるSQLコマンドで使用される特殊要素の不適切な無効化（『SQLインジェクション』）により、認可された攻撃者がローカルで権限を昇格させることが可能になります。

SQL Server における SQL コマンドで使用される特殊な要素が不適切に無害化される（「SQL インジェクション」）ことで、認可された攻撃者がローカルで権限を昇格させることが可能になります。

.NETにおける特殊要素の不適切な無害化により、認可されていない攻撃者がネットワーク上でなりすましを行うことが可能になります。

Sandboxie-PlusはWindows向けのオープンソースのサンドボックスベースの分離ソフトウェアです。バージョン1.17.2以前では、INIインジェクションの脆弱性により、任意の標準ローカルユーザーが設定制限（EditAdminOnlyおよびConfigPassword）を回避し、グローバルなSandboxie.ini構成ファイルに任意のディレクティブを挿入可能でした。バックグラウンドサービスはUserSettings_で始まるセクションを対象とするIPCメッセージの認証チェックをスキップしますが、valueパラメータ（MSGID_SBIE_INI_ADD_SETTING経由）や設定名パラメータ（MSGID_SBIE_INI_SET_SETTING経由）内のCRLF文字のサニタイズを行いません。攻撃者は権限制限のない新しいサンドボックスセクションヘッダーを注入でき、これによりサンドボックスをエスケープし、SYSTEM権限を昇格させることが可能です。この問題はバージョン1.17.3で修正されました。

Sandboxie-PlusはWindows向けのオープンソースのサンドボックスベースの隔離ソフトウェアです。バージョン1.17.2以前には、SbieSvcプロキシサービスのGetRawInputDeviceInfoSlaveハンドラに、サンドボックスの脱出につながる2つの連鎖可能な脆弱性が存在しました。まず、サンドボックス内のプロセスがcbSizeを0に設定したIPCリクエストを送信すると、サービスプロセスの最大32KBの初期化されていないスタックメモリが返され、リターンアドレスやスタッククッキーが漏洩し、ASLRや/GS保護が回避されます。次に、ハンドラは32KBのスタックバッファ内に収まるかどうかを検証せずに、攻撃者が制御する長さでmemcpyを実行し、スタックバッファオーバーフローを引き起こす可能性があります。情報漏洩とオーバーフローを連鎖させることで、サンドボックス内のプロセスはROPチェーンを実行でき、Security Hardened SandboxでもSYSTEM特権に昇格することが可能です。ハードウェア強制シャドウスタック（Intel CET）はROPチェーンの実行を防ぎますが、情報漏洩には対処しません。この問題はバージョン1.17.3で修正されました。

Sandboxie-PlusはWindows向けのオープンソースのサンドボックスベースの分離ソフトウェアです。バージョン1.17.2以前には、SbieIniServerのRunSbieCtrlハンドラにスタックバッファオーバーフローの脆弱性が存在していました。MSGID_SBIE_INI_RUN_SBIE_CTRLメッセージは、通常のサンドボックスおよび偽装チェックの前に処理され、サンドボックス外の呼び出し元に対しては、ハンドラがメッセージの後続ペイロードを固定サイズのWCHAR ctrlCmd[128]スタックバッファに対して、長さの検証なしにmemcpyを使ってコピーしてしまいます。サービスパイプはNULL DACLで作成されているため、任意のローカルの対話型プロセスが接続してオーバーサイズのペイロードを送信し、スタックをオーバーフローさせることが可能です。これにより、SbieSvcサービスがクラッシュしたり、SYSTEM権限でコードを実行される可能性があります。この問題はバージョン1.17.3で修正されました。

Sandboxie-PlusはWindows向けのオープンソースのサンドボックスベース分離ソフトウェアです。バージョン1.17.2以前では、いくつかのProcessServerハンドラ（KillAllHandler、SuspendAllHandler、RunSandboxedHandler）が、リクエスト構造体のWCHAR boxname[34]フィールドをwcscpyを使用してWCHAR[40]のスタックバッファにコピーする際に、NULL終端を確認していませんでした。サービスパイプはリクエスト構造体よりも大きい可変長パケットを受け入れるため、攻撃者はboxnameフィールドに非ゼロデータを詰め込み、さらに制御可能な追加のワイド文字を構造体の後に付加できます。wcscpyは固定長フィールドを超えて読み込み、宛先スタックバッファのオーバーフローを引き起こします。サービスパイプはNULL DACLで作成されており、任意のローカルプロセスが接続可能で、かつ認証チェック前に安全でないコピーが行われます。これにより、SbieSvcサービスのクラッシュやSYSTEM権限でのコード実行の可能性があります。この問題はバージョン1.17.3で修正されました。

Sandboxie-Plusは、Windows向けのオープンソースのサンドボックスベース分離ソフトウェアです。バージョン1.17.2およびそれ以前のバージョンでは、NamedPipeServer::OpenHandlerがNAMED_PIPE_OPEN_REQからserverフィールドをヌル終端を検証せずにwcscatを使用して固定長のWCHAR pipename[160]スタックバッファにコピーします。ハンドラーは最小パケットサイズのみを強制し、サービスパイプが可変長のメッセージを受け入れるため、サンドボックス内の呼び出し元はserver[48]フィールドにゼロ以外のデータを埋め、構造体の後に制御可能なワイド文字を追加できます。wcscatは固定フィールドを越えて読み取り、SYSTEMサービスのスタックバッファをオーバーフローさせます。このメッセージはサンドボックス内の呼び出し元に制限されており、サンドボックス脱出のベクターとなります。これによりSbieSvcサービスがクラッシュしたり、SYSTEM権限でコードを実行されたりする可能性があります。この問題はバージョン1.17.3で修正されました。

Sandboxie-PlusはWindows向けのオープンソースのサンドボックスベース隔離ソフトウェアです。バージョン1.17.2以前には、アドオンのインストール中にチェック時から使用時までの競合状態（TOCTOU）が存在していました。ユーザーがSandManインターフェースを通じてアドオンをインストールすると、SbieSvcがSYSTEM権限でUpdUtil.exeを起動し、ユーザーが書き込み可能な%TEMP%\sandboxie-updaterディレクトリにファイルを配置します。UpdUtilは署名済みアドオンマニフェストに対してファイルハッシュを検証した後、install.batがfiles.cabを展開し、その中のconfig.exeを実行します。ハッシュ検証と展開の間に、権限のないユーザーが悪意のある実行ファイルを含む細工されたcabinetファイルにfiles.cabを置き換えることができ、その実行ファイルがSYSTEM権限で実行されます。UACプロンプトは不要です。この問題はバージョン1.17.3で修正されました。

NocoBaseは、ビジネスアプリケーションやエンタープライズソリューションを構築するためのAI搭載のノーコード/ローコードプラットフォームです。バージョン2.0.39以前では、危険なSQLキーワード（例：pg_read_file、LOAD_FILE、dblink）をブロックするcheckSQL()検証関数がcollections:createおよびsqlCollection:executeエンドポイントに適用されていましたが、sqlCollection:updateエンドポイントには適用されていませんでした。コレクション管理権限を持つ攻撃者は、無害なSQLでSQLコレクションを作成し、その後任意のSQLに更新してすべての検証を回避できました。その結果、コレクションをクエリして注入したSQLを実行し、データを漏洩させる可能性がありました。この問題はバージョン2.0.39で修正されました。

GoBGPはGoプログラミング言語で実装されたオープンソースのBorder Gateway Protocol（BGP）ソフトウェアです。バージョン4.3.0において、nilポインタの逆参照によるリモートサービス拒否（DoS）の脆弱性が存在します。不正なBGP UPDATEメッセージが「Well-known」とマークされた認識されないPath Attributeを含む場合、デーモンがメッセージ処理の流れを中断できません。このため不正なメモリアクセスが発生し、プロセスが完全にクラッシュ（パニック）します。この問題はバージョン4.4.0で修正されています。

GoBGPは、Goプログラミング言語で実装されたオープンソースのボーダーゲートウェイプロトコル（BGP）の実装です。バージョン4.3.0以前にはリモートのサービス拒否（DoS）脆弱性が存在しており、破損したBGP UPDATEメッセージが実行時エラーのインデックス範囲外パニックを引き起こす可能性がありました。これは4バイトAS属性の処理中にメッセージ構造が内部スライスのインデックスシフトを発生させ、それが適切に処理されなかったために発生しました。この問題はバージョン4.3.0で修正されています。

Linuxカーネルにおいて、accel/qaicモジュールで所有者が離れた場合のDBC無効化処理に関する問題が修正されました。DBCの解放時にホストに送信されるQAIC_TRANS_DEACTIVATE_FROM_DEVトランザクションが適切に処理されないと、リソースが解放されず、他のユーザーがネットワークをロードする際にハングが発生する可能性がありました。本修正により、ユーザーが離れた後でも無効化トランザクションが正しく処理されるようになっています。

Linuxカーネルにおいて、以下の脆弱性が修正されました。bpf: 原子フェッチ精度追跡による不正な剪定の修正。backtrack_insnがBPF_STX命令でBPF_ATOMICおよびBPF_FETCHを検出した際、srcレジスタ（またはBPF_CMPXCHGの場合はr0）が宛先としても機能し、メモリ位置から古い値を受け取ります。現在のバックトラッキングロジックはこれを考慮しておらず、srcレジスタを入力のみとみなし、通常のストアと同じに扱っていました。これによりbacktrack_insnはスタック位置に精度を伝播できず、その位置を正確とマークできませんでした。この問題により、後の検証者のパス剪定処理ではスタック状態が異なるにもかかわらず2つの状態を同一視してしまう可能性がありました。つまり、本来区別されるべき2つの分岐が同一と見なされ剪定されてしまいます。修正内容は以下の通りです。backtrack_insn内のBPF_LDX処理を拡張し、is_atomic_fetch_insn()ヘルパーを使って原子フェッチ命令も扱うようにしました。フェッチ先のレジスタが精度追跡中の場合、それをクリアし、精度をスタックスロットへ伝播させます。スタック以外のメモリでは通常のBPF_LDXと同様に原子命令によって精度追跡を停止します。これにより全てのフェッチ変種をカバーしています。修正前と修正後のコード例も示されています。

Linuxカーネルにおいて、以下の脆弱性が修正されました：net: macb: PCIグルードライバの削除時におけるclk処理の問題対応。platform_device_unregister()は、ランタイム再開コールバック中に登録されたクロックをまだ使用する可能性があります。同様のclkとプラットフォームデバイスの登録解除に関する問題は、コミットd82d5303c4c5（"net: macb: fix use after free on rmmod"）ですでに対処されていましたが、その修正によりバグが別の場所に移動してしまいました。プラットフォームデバイスが登録解除された後も再利用できるように、CLKのポインタをローカル変数に保存する仕様に変更しました。バグの内容は、clk_prepare関数内でのuse-after-freeであり、modprobeタスクによるアドレスffff888104f85e00のサイズ8の読み取りによって発生しました。エラーはKASANによって検出され、CPU2のプロセスID597のmodprobeで発生しています。コールトレースは、スタックのダンプ、報告、clk_prepareの呼び出しから始まり、macbのランタイム再開、バスデバイスの削除、プラットフォームデバイスの登録解除、PCIデバイスの削除、ドライバの解除登録に至る一連の操作を示しています。割り当ておよび解放は、それぞれタスク519と597により行われており、KASANの追跡および解放関数を通じてclk構造体のメモリ管理が適切に行われています。

Linuxカーネルにおいて、以下の脆弱性が修正されました。bpf: sockmapのsk_psock_verdict_data_ready()内のsk-sk_socketに関するuse-after-freeの問題が修正されました。syzkallerのsyzbotにより、sk_psock_verdict_data_ready()でAF_UNIXソケットのsk-sk_socketに対するuse-after-freeが報告されました[0]。unix_stream_sendmsg()では、ピアソケットの-sk_data_ready()がunix_state_lock()を解放した後に呼び出されます。送信側のソケットはピアの参照カウントを保持しているものの、ピアのsock_orphan()を防ぐことはできず、ピアのsk_socketは一つのRCU猶予期間後に解放される可能性があります。sk_psock_verdict_data_ready()内では、RCU下にてピアのsk-sk_socketとsk-sk_socket-opsを取得するように変更しました。[0]:BUG: KASAN: slab-use-after-freeがsk_psock_verdict_data_ready+0xec/0x590 net/core/skmsg.c:1278で発生しました。アドレスffff8880594da860の8バイト読み取りはsyz.4.1842/11013タスクによるものであり、CPU: 1、UID: 0、PID: 11013、Comm: syz.4.1842でした。その他、詳細なコールトレースや割り当て・解放情報が示されています。この脆弱性はAF_UNIXソケットの不適切なメモリ管理に起因し、競合状態によるuse-after-freeを防止するための修正が行われました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。HIDのマルチタッチ機能において、レポート応答がリクエストと一致することを確認するチェックを追加しました。悪意のある（または不注意な）デバイスが、特定のレポートの機能要求に対して全く異なるレポートIDで応答する可能性がありました。これによりHIDコアが混乱し、OOB書き込みなどの悪質な副作用が発生する恐れがありました。そこで、応答のレポートIDが要求されたものと一致することを確認するチェックを追加し、一致しない場合は生のイベントの報告を省略して早期に戻るようにしました。

Linuxカーネルにおいて、HIDコアの脆弱性が修正されました。hid_report_raw_event()内のmemset()関数は、受信データ文字列の終わりからバッファの想定終端までの領域をゼロクリアする目的で使用されていましたが、これにより不正な読み書きが発生する可能性がありました。現在の対策として、memset()を削除し、受信イベントバッファのサイズがレポートに十分でない場合は処理を中断するように変更しています。

Linuxカーネルにおいて、HID: logitech-hidppドライバーのフォースフィードバック初期化が失敗した際に発生するUse-After-Freeの脆弱性が修正されました。この問題はXbox One用Logitech G920 Driving Force Racing Wheelのプロービング時に、フォースフィードバックの初期化が失敗してエラーが返されると、ユーザー空間がこれらのエラーを無視し、ダングリング状態の参照を使い続けることで発生します。修正では、警告を出力し、フォースフィードバック機能を除いてデバイスを動作させ続ける方法が採用されました。

Linuxカーネルのatm: lecモジュールにおいて、sock_def_readable()関数でuse-after-freeの脆弱性が修正されました。この問題は、lec_atm_close()関数がpriv-lecdをNULLに設定し、送信処理の間に別スレッドが該当ポインタへ同時アクセスする競合状態により発生しました。結果として、RCUによるソケット解放後にsock_def_readable()内で解放済みメモリにアクセスされる危険がありました。本修正では、priv-lecdをRCU保護ポインタに変更し、rcu_assign_pointer()やrcu_access_pointer()で安全なアクセスを保証しています。また、lec_atm_close()でsynchronize_rcu()を呼ぶことで全ての読みに対する同期を行っています。この変更によりuse-after-free状態を回避し、競合状態の根本的な問題を解決しました。なお、従来のspinlock方式による同期は不十分であったため、このRCU方式への切り替えにより安定性が向上しました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。HID: wacom: wacom_intuos_bt_irqにおける境界外読み取りの問題です。wacom_intuos_bt_irq()関数はBluetooth HIDレポートを処理しますが、十分な境界チェックが行われていませんでした。悪意を持って作成された短いレポートにより、wacom構造体へのデータコピー時に境界外読み取りが発生する可能性がありました。具体的には、レポート0x03は処理されたデータとバッテリーステータスを安全に読み取るために少なくとも22バイトを必要とし、レポート0x04（0x03にフォールスルー）は32バイトを必要とします。これらのレポートIDに対して明示的な長さチェックを追加し、短いレポートが受信された場合は警告をログに記録するようにしました。

Linuxカーネルのwifi: mac80211において、ieee80211_tdls_oper内でtdlsフラグを確認する脆弱性が修正されました。当該脆弱性は、NL80211_TDLS_ENABLE_LINKが呼ばれた際に、コードがステーションの存在のみをチェックし、実際にTDLSステーションであるかは確認していませんでした。このため、非TDLSステーションに対しても操作が実行され、チャネルコンテキストやHT保護の変更といった意図しない副作用が発生した後に操作が失敗する可能性がありました。ENABLE_LINKケースで副作用が発生する前に、sta-sta.tdlsのチェックを早期に追加し、操作が実際のTDLSピアに対してのみ許可されるように修正しました。

Linuxカーネルには、scsi: target: file: aio_cmdにkzalloc_flexを使用する変更に関連する脆弱性が存在します。target_core_fileはaio_cmd-iocbのki_write_streamを初期化していませんでした。これにより偽のki_write_stream値が使用され、書き込みコマンドの実行時に意図しない書き込み失敗が発生する可能性がありました。この問題は、aio_cmdの割り当て時にkzalloc_flexを使用してki_write_streamを0に初期化することで修正されました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。net: manaのadd_adev()関数のエラーパスにおけるuse-after-freeの問題です。auxiliary_device_add()が失敗した場合、add_adev()はadd_failにジャンプし、auxiliary_device_uninit(adev)を呼び出します。補助デバイスは解放コールバックとしてadev_release()が設定されており、これは包含するstruct mana_adevを解放します。adevはstruct mana_adevに埋め込まれているため、その後init_failにフォールスルーし、adev-idにアクセスするとuse-after-freeの問題が発生する可能性がありました。この問題はauxiliary_device_add()を呼び出す前に補助デバイスIDをローカル変数に保存し、auxiliary_device_uninit()の後のクリーンアップパスでその保存されたIDを使用することで修正されました。

OpenClawのバージョン2026.2.23から2026.4.12未満には、busyboxおよびtoyboxのアプレット実行におけるexec承認バインディングの脆弱性があります。この脆弱性により、攻撃者は実際にどのアプレットが実行されるかを隠蔽できます。攻撃者は不透明なマルチコールバイナリを悪用してexec承認メカニズムを回避し、安全でないアプレット呼び出しのリスク分類を弱めることが可能です。

OpenClawの2026年4月9日以前のバージョンには、悪意のあるワークスペースの.envファイルを通じてランタイム制御変数を設定できる環境変数インジェクションの脆弱性があります。攻撃者は更新元、ゲートウェイURL、ClawHubの解決、およびブラウザ実行ファイルのパスに影響を与える変数を注入し、アプリケーションの動作を悪用する可能性があります。

OpenClawの2026年4月14日以前のバージョンには、collect-modeキューバッチにおける認可コンテキストの再利用に関する脆弱性が含まれています。この脆弱性により、異なる送信者からのメッセージが最終送信者の認可コンテキストを継承してしまう可能性があります。攻撃者はこれを悪用して、より特権の高い送信者の認可コンテキストを使用し、複数のキューイングされたメッセージを送信することができます。その結果、攻撃者はバッチを消費させ、以前のメッセージを昇格した権限で実行させることが可能になります。

OpenClaw 2026.4.10より前のバージョンには、チャネルセットアップカタログの検索がバンドルされたチャネルプラグインより先にワークスペースプラグインのシャドウを解決してしまうプラグイントラストバイパスの脆弱性があります。攻撃者はセットアップ時のプラグイン読み込み中に意図された信頼ゲートを回避する悪意あるワークスペースプラグインを作成することで、この脆弱性を悪用できます。

OpenClawの2026年4月10日以前のバージョンには、既存のセッションブラウザーインタラクションルートにおいてサーバーサイドリクエストフォージェリ（SSRF）ポリシーバイパスの脆弱性があります。攻撃者はSSRFナビゲーションガードを回避し、ポリシーの適用なしに許可されていないターゲットと対話したりナビゲートしたりすることが可能です。

OpenClaw 2026.4.5以前のバージョンには、CDP/json/versionのWebSocketエンドポイントにサーバーサイドリクエストフォージェリ（SSRF）の脆弱性が存在し、攻撃者が信頼されていない第2ホップのターゲットにピボット（中継）することを可能にします。webSocketDebuggerUrlレスポンスフィールドが適切に検証されておらず、攻撃者は任意のホストへの接続をリダイレクトしてSSRFスタイルの攻撃を実行できます。