脆弱性情報（JVN）検索・一覧

入力検証の改善によりメモリ破損の問題が修正されました。この問題はiOS 16.5およびiPadOS 16.5、macOS Sequoia 15.7.7、macOS Sonoma 14.8.7、macOS Tahoe 16.5、tvOS 16.5、visionOS 16.5、watchOS 16.5で修正されています。悪意を持って細工されたメディアファイルを処理すると、予期しないアプリの終了やプロセスメモリが破損する可能性があります。

プライバシーの問題は、脆弱なコードを削除することで対処されました。この問題はiOS 16.5およびiPadOS 16.5で修正されています。物理的にデバイスにアクセスできる攻撃者が、iPhoneミラーリング中にVisual Intelligenceを使用して機密ユーザーデータにアクセスする可能性があります。

入力検証の改善により、サービス拒否の問題が解決されました。この問題はiOS 18.7.7およびiPadOS 18.7.7、iOS 26.4およびiPadOS 26.4で修正されています。特権的なネットワーク位置にいる攻撃者がサービス拒否を引き起こす可能性があります。

この問題はUI処理の改善によって対処されました。Safari 26.5、iOS 26.5およびiPadOS 26.5、macOS Tahoe 26.5、visionOS 26.5で修正されています。悪意のあるiframeが他のウェブサイトのダウンロード設定を使用する可能性があります。

入力検証の改善により、境界外書き込みの問題が対処されました。この問題はiOS 18.7.9およびiPadOS 18.7.9、iOS 26.5およびiPadOS 26.5、macOS Sequoia 15.7.7、macOS Sonoma 14.8.7、macOS Tahoe 26.5、tvOS 26.5、visionOS 26.5、およびwatchOS 26.5で修正されています。この問題により、アプリが予期しないシステムの終了やカーネルメモリへの書き込みを引き起こす可能性があります。

ヌルポインタ参照の問題は、入力検証の改善によって対処されました。この問題はiOS 26.5およびiPadOS 26.5、macOS Tahoe 26.5、tvOS 26.5で修正されています。ローカルネットワーク上の攻撃者がサービス拒否（DoS）攻撃を引き起こす可能性があります。

追加の制限により権限の問題が対処されました。この問題はiOS 16.5、iPadOS 16.5、macOS Tahoe 16.5、visionOS 16.5、watchOS 16.5で修正されています。アプリが特定のプライバシー設定を回避できる可能性がありました。この問題を修正しました。

メモリ破損の脆弱性はロック機構の改善によって対処されました。この問題はiOS 18.7.9およびiPadOS 18.7.9、iOS 26.5およびiPadOS 26.5、macOS Sequoia 15.7.7、macOS Sonoma 14.8.7、macOS Tahoe 26.5、tvOS 26.5、visionOS 26.5、watchOS 26.5で修正されています。攻撃者がこの脆弱性を悪用すると、予期しないアプリの終了を引き起こす可能性があります。

この問題は、ユーザーの同意を得るための追加のプロンプトを設けることで対処しました。この問題は、iOS 18.7.9およびiPadOS 18.7.9、iOS 26.5およびiPadOS 26.5、macOS Sequoia 15.7.7、macOS Sonoma 14.8.7、macOS Tahoe 26.5、visionOS 26.5で修正されています。アプリがユーザーの機密データにアクセスできる可能性があります。

使用後に解放される問題は、改良されたメモリ管理によって対処されました。この問題はiOS 18.7.9およびiPadOS 18.7.9、iOS 26.5およびiPadOS 26.5、macOS Sequoia 15.7.7、macOS Sonoma 14.8.7、macOS Tahoe 26.5、tvOS 26.5、およびwatchOS 26.5で修正されています。権限のあるネットワーク位置にいる攻撃者は、細工されたWi-Fiパケットを使用してサービス拒否攻撃を実行できる可能性があります。

Textpattern CMS 4.9.0には、記事管理システムに破損したアクセス制御の脆弱性が含まれており、低い権限を持つ認証済みユーザーでも、より高い権限を持つユーザーが所有する記事を修正できます。textpattern/include/txp_article.php内の複製および保存ワークフローで記事IDパラメータを操作することにより、攻撃者は認可チェックを回避し、他のユーザーに属するコンテンツを上書きできます。

Stirling-PDFは、PDFファイルに対する様々な操作を可能にするローカルホスト型のウェブアプリケーションです。バージョン2.0.0未満では、ファイルアップロードのエンドポイントがユーザーが提供したファイル名を無害化せずにinnerHTMLのような安全でない方法でHTMLに直接レンダリングしていました。攻撃者は、悪意のあるJavaScriptを含むファイル名を持つファイルを作成してアップロードし、アップロードするユーザーのブラウザコンテキストで実行される反射型XSSを引き起こす可能性があります。この問題はアプリケーション内の多数のアップロードエンドポイントに影響を与えていました。この問題はバージョン2.0.0で修正されています。

悪意のあるフォントファイルを解析すると、過剰なメモリ割り当てが発生する可能性があります。

Wikimedia FoundationのMediaWikiに存在する脆弱性です。この脆弱性は、includes/Actions/ActionEntryPoint.phpおよびincludes/Request/FauxResponse.phpのプログラムファイルに関連しています。この問題は、MediaWikiのバージョン1.43.7未満および1.44.4、1.45.2に影響を与えます。

Substance3D - Designer バージョン15.1.0およびそれ以前には、制限されたディレクトリへのパス名の不適切な制限（「パストラバーサル」）の脆弱性があります。この脆弱性により、攻撃者が任意のファイルシステムを読み取ることが可能になる場合があります。攻撃者はこの脆弱性を悪用して、本来アクセスすべきでない機密ファイルやディレクトリにアクセスできます。この問題を悪用するにはユーザーの操作が必要で、被害者が悪意のあるファイルを開く必要があります。スコープが変更されました。

LIBPNGは、PNG（Portable Network Graphics）ラスター画像ファイルを読み取り、作成し、操作するアプリケーションで使用されるリファレンスライブラリです。バージョン1.0.9から1.6.57未満の間において、png_get_PLTE、png_get_tRNS、またはpng_get_hISTから取得したポインタを同じpng_struct/png_infoペアの対応するセッターに渡すと、セッターは解放されたメモリから読み取り、その内容を置換バッファにコピーしてしまいます。セッターは呼び出し元が提供したポインタからコピーする前に内部バッファを解放するため、ポインタはダングリング状態になります。解放済みの領域には古いデータ（サイレントに破損したチャンクメタデータを生成する可能性があります）や後続のヒープ割り当てからのデータ（チャンク構造体に関係のないヒープ内容が漏洩する可能性があります）が含まれることがあります。この脆弱性はバージョン1.6.57で修正されました。

bareboxの2026.04.0以前のバージョンには、fs/ext4/ext4_common.cのext4ディレクトリ解析においてサービス拒否の脆弱性があります。具体的には、ext4fs_iterate_dir()関数がディレクトリエントリの長さの値が0でないことを検証しないために発生します。攻撃者はdirentlen値が0の細工されたディレクトリエントリを含む悪意のあるext4ファイルシステムイメージを提供することで、ディレクトリの一覧表示やパス解決中に無限ループを引き起こし、起動プロセスが無期限に停止する可能性があります。

IBM WebSphere Application Server - Liberty 17.0.0.3 から 26.0.0.4 にかけての IBM WebSphere Application Server Liberty は、認証および認可が設定されていない状態でアプリケーションがデプロイされている場合に、限定的な条件下でアイデンティティのなりすましに対して脆弱であることが判明しました。

「go tool pack」サブコマンド（通常は既知の正常な入力を持つ内部ツールとしてコンパイラのみが使用します）は、出力ファイル名をサニタイズしません。悪意のあるアーカイブファイルを「pack」サブコマンドで展開すると、ファイルシステム上の任意の場所にファイルを書き込む可能性があります。

"go bug"コマンドは、システムの一時ディレクトリ（例："/tmp"）にある予測可能な名前の2つのファイルに書き込みます。攻撃者が一時ディレクトリにアクセスできる場合、これらの名前のいずれかにシンボリックリンクを作成することができ、"go bug"コマンドがそのシンボリックリンクのターゲットを上書きしてしまいます。

この脆弱性は、meta タグの content 属性内のURLが適切にエスケープされていなかったために発生しました。特に、content 属性内で '=' の周囲にASCII空白文字が挿入された場合にエスケープ処理が適切に行われなかったため、XSS攻撃が可能となりました。

ReverseProxyは、Rewrite関数に表示されないパラメータを含むクエリを転送することができます。Rewrite関数やクエリパラメータを解析するDirector関数と組み合わせて使用される場合、ReverseProxyは転送されるリクエストを消毒し、url.ParseQueryで解析されないクエリパラメータを削除します。しかし、ReverseProxyはParseQueryのクエリパラメータ総数の制限（GODEBUG=urlmaxqueryparams=Nによって制御）を考慮していません。その結果、Rewrite関数に見えないクエリパラメータを含むリクエストをReverseProxyが転送できる可能性があります。例えば、クエリ"a1=x&a2=x&...&a10000=x&hidden=y"は、パラメータ"hidden=y"をプロキシのRewrite関数から隠したまま転送できます。

信頼されたテンプレート作成者が空の'タイプ'属性またはASCII空白を含む'タイプ'属性を持つscriptタグを書くと、テンプレートの実行時にscriptブロックに渡されるデータが誤ってエスケープされる可能性があります。

この問題はメモリ処理の改善により対処されました。この問題はiOS 18.7.9およびiPadOS 18.7.9、iOS 26.5およびiPadOS 26.5、macOS Sequoia 15.7.7、macOS Sonoma 14.8.7、macOS Tahoe 26.5、tvOS 26.5、visionOS 26.5、watchOS 26.5で修正されています。悪意のある形で作成されたメディアファイルのオーディオストリームを処理すると、プロセスが終了してしまう可能性があります。

ZTE ZX297520V3のBootROMには、USBを介して任意のメモリ書き込みを可能にする脆弱性があります。攻撃者はUSBダウンロードモードにおけるターゲットアドレス検証の欠如を悪用し、BootROMの実行時メモリ内の任意の場所にデータを書き込むことができます。これにより、スタックを上書きして実行フローを乗っ取り、Secure Bootの署名検証機構を回避し、不正なコードを実行します。

Zulipはオープンソースのチームコラボレーションツールです。12.0以前のバージョンでは、message_edit_history_visibility_policyが「moves」に設定されている場合、/api/v1/messages/{id}/historyが依然として履歴の内容を返してしまい、権限の低いユーザーが他のユーザーのメッセージから編集によって削除されたテキストを取得できてしまう脆弱性がありました。この脆弱性は12.0で修正されました。

NocoBaseは、ビジネスアプリケーションやエンタープライズソリューションを構築するためのAI搭載ノーコード/ローコードプラットフォームです。バージョン2.0.37以前のNocoBaseのワークフローHTTPリクエストプラグインおよびカスタムリクエストアクションプラグインには、サーバー側でユーザー提供のURLにHTTPリクエストを行う際のSSRF保護がありません。認証済みユーザーは内部ネットワークサービス、クラウドメタデータエンドポイント、およびlocalhostにアクセス可能でした。バージョン2.0.37でこの問題は修正されています。

jqはコマンドラインのJSONプロセッサです。バージョン1.8.1以前では、jv_containsは深さ制限なしにネストされた配列やオブジェクトを再帰的に処理していました。十分にネストされた入力構造（JSONパーサーは深さ10000で制限されるため、reduceでプログラム的に構築されたもの）を与えると、Cスタックが枯渇します。

jqはコマンドラインのJSONプロセッサです。バージョン1.8.1およびそれ以前のバージョンでは、-fオプションでファイルから読み込まれたトップレベルのjqプログラムが、現在のupstream HEADでは最初の埋め込みNULバイトで切り詰められます。例えば、「.」に続けてヌル文字（\u0000）と任意のサフィックスを含む細工されたフィルタファイルは、ヌル文字の前の部分のみがコンパイルされて実行されます。これにより、JSONパーサの処理はすでに修正されていますが、コンパイル処理ではプレフィックスとフルバッファの不一致がjqに残っています。

jqはコマンドラインJSONプロセッサです。バージョン1.8.1およびそれ以前のバージョンでは、jqのバイトコードVMのデータスタックが割り当てサイズを符号付き整数で管理しています。スタックが約1GiBを超えて成長すると（深くネストされたジェネレーターフォークによって）、倍増する算術演算がオーバーフローします。オーバーフローした値がreallocに渡され、その後、攻撃者が影響を与えたオフセットを用いてmemmoveが実行されます。

Langfuseはオープンソースの大規模言語モデル（LLM）エンジニアリングプラットフォームです。バージョン3.68.0から3.167.0未満の間に、LLM接続更新フローにおいてロールベースアクセス制御の脆弱性が存在しました。プロジェクト内の認証済みで権限の低い「member」ロールのユーザーが、既存のLLM接続の更新を攻撃者が制御するbaseUrlにリクエストすることで、Langfuseは保存されているプロバイダーの秘密情報を再利用し、テストリクエストを攻撃者制御のエンドポイントにリダイレクトしてしまいます。これにより、その接続のプレーンテキストのプロバイダーLLM APIキーが漏洩する可能性があります。この攻撃は、ユーザーが既にプロジェクトの一員であり、「member」権限が付与されている場合にのみ成功します。この問題はバージョン3.167.0で修正されました。

ImageMagickはデジタル画像の編集および操作に使用される無料のオープンソースソフトウェアです。7.1.2-21および6.9.13-46以前のバージョンでは、悪意のあるMIFFファイルが、ユーザーが表示ツールでこれを開き、タイルを右クリックして「Load / Update」メニューアイテムを呼び出した際にオーバーフローを引き起こす可能性がありました。この脆弱性は7.1.2-21および6.9.13-46で修正されています。

Kimaiはオープンソースのタイムトラッキングアプリケーションです。バージョン2.27.0から2.54.0未満のバージョンでは、任意のROLE_USERがPOST /api/tagsを介して、名前に数式文字列（例: =SUM(54+51)）を含むタグを作成し、それをタイムシートに割り当てることが可能でした。管理者がタイムシートをXLSX形式でエクスポートする際、ArrayFormatter.formatValue()はタグ名をimplode()で結合し、その結果を変更せずに返します。OpenSpoutは、=で始まる文字列をFormulaCellとして扱い、XLSXアーカイブ内にfSUM(54+51)/fを書き込みます。Excelはファイルを開く際にその数式を評価します。この問題はバージョン2.54.0で修正されました。

Open edXプラットフォームは、あらゆる規模のオンライン学習の作成と提供を可能にします。ディスカッション通知メールに使用されるHTMLサニタイザーであるclean_thread_html_body()は、ユーザー生成のディスカッション投稿コンテンツからstyleタグを削除できません。このコンテンツはメール通知テンプレートでDjangoの|safeテンプレートフィルターを使用してレンダリングされるため、登録されている任意の学生が他のユーザーに送信されるメール通知に任意のCSSを注入できます。これにより、メール追跡（IPアドレスの開示）、コンテンツのなりすまし、およびフィッシング攻撃が可能となります。この脆弱性はコミットcddc25cd791bb78f76833896e4778f668861df12で修正されました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。HID: magicmouseにおいて、msc-inputが存在しない場合にクラッシュしないように対処しました。偽のUSBデバイスは、自身のレポートディスクリプタを送信でき、その場合input_mapping()フックが呼び出されません。このときmsc-inputはNULLのままとなり、後にクラッシュが発生します。この状態をinput_configured()フックで検出し、デバイスを拒否します。この問題は通常のmagic mouseデバイスでは発生しませんが、magic mouse USBデバイスとして偽装すると引き起こされる可能性があります。

Linuxカーネルにおいて、メディアドライバーirisのgen1ファームウェアが内部バッファを解放した後にそれらを破棄しない問題が修正されました。この問題は特に解像度変更時に不要な古いバッファが残るため、メモリリークを引き起こしていました。ファームウェアからリリース応答を受け取った際に、内部バッファを適切に破棄するよう修正されています。

Linuxカーネルにおいて、以下の脆弱性が修正されました：mfd: core: 「mfd_of_node_list」の周りにロックを追加しました。カーネル内のリストを操作する際は、何らかの相互排除がなければ安全ではありません。クラッシュの可能性を防止するために、「mfd_of_node_list」にアクセスまたは変更する際には常にミューテックスを追加しています。

LinuxカーネルのWi-Fiドライバ brcmfmac において、プローブ失敗時にカーネルオプスが発生する脆弱性が修正されました。本脆弱性は、sdio の brcmfmac デバイスのプローブ処理中にエラーが発生した際、不正なバス構造体への参照が行われるためリソース解放が誤って実行されることで引き起こされます。修正により、brcmf_sdio_probe 関数がエラーコードを返すようになり、不正なバス参照を防止しています。

Linuxカーネルにおいて、以下の脆弱性が修正されました。remoteproc: imx_rprocにおける不正なロード済みリソーステーブルの検出の問題です。imx_rproc_elf_find_loaded_rsc_table()関数は、現在のファームウェアにリソーステーブルが存在しない場合でも、誤ってリソーステーブルがロードされていると報告する可能性がありました。デバイスツリーに「rsc-table」エントリが含まれている場合、priv-rsc_tableはNULLではなく、メモリ内にリソーステーブルが存在する場合の位置を示します。しかし、現在のファームウェアにリソーステーブルがない場合、rproc-table_ptrはNULLになります。この関数はそれでもpriv-rsc_tableを返し、remoteprocコアはこれを有効なロード済みリソーステーブルと解釈していました。この問題は、現在のファームウェアにリソーステーブルが存在しない（つまりrproc-table_ptrがNULLの）場合に、imx_rproc_elf_find_loaded_rsc_table()がNULLを返すように修正することで解決しました。これにより、関数の動作はremoteprocコアの仕様と一致し、有効なtable_ptrが存在する場合にのみロード済みリソーステーブルとして報告されます。この変更によって、リソーステーブルのないファームウェアの起動時にクラッシュが発生しなくなりました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。media: irisにおいて、バッファの割り当てに成功した後にのみリストに追加するようにしました。内部バッファを作成する際、`dma_alloc_attrs()`が成功した後に`list_add_tail()`を移動しました。以前はDMA割り当ての前にバッファが`buffers-list`に登録されていました。割り当てに失敗すると、関数は`-ENOMEM`を返しつつリストに部分的に初期化されたバッファが残り、一貫性のない状態や潜在的なリークを引き起こす可能性がありました。`dma_alloc_attrs()`の成功後にのみバッファをリストに追加することで、リストが有効かつ完全に初期化されたバッファのみを含むことを保証しています。