脆弱性情報（JVN）検索・一覧

GravはファイルベースのWebプラットフォームです。2.0.0-beta.2以前のバージョンには、getgrav/gravに格納型クロスサイトスクリプティング（XSS）の脆弱性があり、パブリッシャーレベルのアカウントが任意のJavaScriptを実行できる可能性がありました。この問題は、引用符で囲まれていないHTMLイベント属性を処理する際にdetectXss()関数のブラックリスト回避によって発生しました。この脆弱性は2.0.0-beta.2で修正されました。

GravはファイルベースのWebプラットフォームです。2.0.0-beta.2より前のバージョンでは、ページ編集権限を持つ認証済みユーザーが、GravのMarkdownメディアアクション構文を通じてレンダリングされた画像のHTMLに実行可能なJavaScriptのイベントハンドラー属性を注入できます。この問題は、Markdownの画像クエリパラメータが呼び出し可能なメディアアクションに変換されることに起因しています。このため、public attribute()メディアメソッドに到達でき、編集者が生成された画像要素に任意のHTML属性名と値を設定できるようになります。この脆弱性は2.0.0-beta.2で修正されました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。spi: stm32-ospiにおけるremove()コールバックのリソースリークを修正しました。remove()コールバックはpm_runtime_resume_and_get()が失敗した場合に早期にリターンし、spiコントローラーやその他のリソースのクリーンアップ処理をスキップしていました。PMの再開結果に関係なくクリーンアップ処理が完了するように、早期リターンを削除しました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。Bluetoothのhci_syncにおけるhdev-req_status周辺のデータ競合に関する注釈付けです。__hci_cmd_sync_sk()はhdev-req_lockのもとでhdev-req_statusを設定します：hdev-req_status = HCI_REQ_PEND。しかし、複数の他の関数はロックを保持せずにhdev-req_statusを読み書きしています。具体的には、hci_send_cmd_sync()はhci_cmd_work（ワークキュー）内でreq_statusを読み取り、hci_cmd_sync_complete()はHCIイベント完了から読み書きし、hci_cmd_sync_cancel()およびhci_cmd_sync_cancel_sync()は読み書きを行い、hci_abort_conn()は接続中止パスで読み取っています。__hci_cmd_sync_sk()はhdev-req_workqueueで実行される一方、hci_send_cmd_sync()はhdev-workqueueで実行されます。これにより、これらは異なるワークキューであり異なるCPU上で同時に実行され得ます。単純なCアクセスはデータ競合を構成します。したがって、hdev-req_statusへのすべての同時アクセスにREAD_ONCE()およびWRITE_ONCE()の注釈を追加し、wait_event条件での読み込み融合やストア順序変更など、正確性に影響を与える可能性のあるコンパイラ最適化を防止しました。

Linuxカーネルに存在したio_uring/zcrxのuser_refs競合状態の脆弱性が修正されました。この問題は、io_zcrx_put_niov_uref()関数がuser_refsを非アトミックに読み取り、デクリメントする処理に起因しており、複数のCPUによるアクセス時にダブルフリーや範囲外書き込みが発生する可能性がありました。修正では、atomic_try_cmpxchgループを用いてuser_refsの操作をアトミックに行い、競合による不整合を防止しています。これにより、rq_lockを取得せずに安全にカウンター操作を行うことが可能となりました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。ACPI: processor: __acpi_processor_start()内のcpuidleドライバチェックが更新されました。Commit 7a8c994cbb2d（"ACPI: processor: idle: Optimize ACPI idle driver registration"）により、ACPIアイドルドライバの登録がacpi_processor_driver_init()に移動され、acpi_processor_power_init()はもはやアイドルドライバを登録しなくなりました。それに伴い、__acpi_processor_start()内のcpuidleドライバチェックも更新され、cpuidleドライバなしでacpi_processor_power_init()を呼び出すことを避ける必要があります。この場合、その関数内でcpuidleデバイスの登録が__cpuidle_register_device()でのNULLポインタ参照につながる可能性があります。

Linuxカーネルにおいて、以下の脆弱性が修正されました。fbconに関しては、con2fb_acquire_newinfo()の戻り値をチェックする処理が追加されました。con2fb_acquire_newinfo()から呼び出されるfbcon_open()が失敗した場合、info-fbcon_parポインタがNULLのままとなり、その後にデリファレンスされる問題が発生していました。この問題を回避するため、con2fb_acquire_newinfo()関数の戻り値をチェックする処理を追加しました。この脆弱性はLinux Verification Center (linuxtesting.org)のSVACEによって発見されました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。media: cx23885ドライバーのsnd_cx23885_hw_params()関数でマッピング解除が欠落していた問題に対して、エラーパスにおいてcx23885_alsa_dma_map()によって取得されたリソースを解放するためにcx23885_alsa_dma_unmap()関数が追加されました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。HID: logitech-hidppのhidpp_get_report_length()関数でmaxfieldの確認を行うようにしました。レポートにフィールドが含まれていない場合でもクラッシュしないよう対策しました。偽のUSBガジェットは独自のHIDレポートディスクリプタを送信し、有効なフィールドを持たないレポート構造を定義できます。このため、USB経由でカーネルをクラッシュさせることが可能でしたが、今回の修正で防止されました。

Linuxカーネルにおいて、ASoC: SOF: Intel: hdaのマシンドライバ内で、DAIリンクとトポロジー間の不一致により、特にエコーリファレンスのループバックキャプチャで再生および録音ウィジェットが設定されていない可能性がありました。この問題はNULLポインタ参照を引き起こしていたため、ウィジェットが設定されていない場合にはエラーを返すように修正されました。

Linuxカーネルにおいて、net: ethernet: xscaleのPTPサポートチェックに関する脆弱性が修正されました。ixp4xx_get_ts_info()ではixp46x_ptp_find()が無条件に呼び出されていましたが、この機能はixp46xでのみ存在するため、これによってNULLポインタ参照によるクラッシュが発生していました。この問題は、ixp46x_ptp_find()内でixp46xであることを確認することで回避されます。修正により、ixp4xx_hwtstamp_set()はixp46x_ptp_find()が失敗した場合にエラーコードに関わらず-EOPNOTSUPPを返すようになりました。

Linuxカーネルにおいて、以下の脆弱性が修正されました：io_uring/zcrxに関するオープン後のエラー処理の修正です。キューを閉じるだけでは、すべての関連するページプールがすぐに終了することを保証できないため、zcrxコンテキストを直接解放するのではなく、参照カウント処理で対応するようにしました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。clk: rs9: 9FGV0841用に8つのstruct clk_hwスロットを予約する必要があります。9FGV0841は8つの出力を持ち、8つのstruct clk_hwを登録します。そのため、新たに登録されるclk_hwポインタ用に8つのスロットを確保しなければなりません。そうしなければ、ポインタ4..7がstruct rs9_driver_dataの.clk_dif[4..7]フィールドに設定される際に境界外書き込みが発生します。struct clk_hwポインタ配列の後に他の構造体メンバが存在するため、.clk_dif[4..7]フィールドへの書き込みはstruct rs9_driver_dataの内容およびその周辺データを破損させます。場合によってはカーネルがクラッシュせずに動作することもありますが、ドライバがバインド解除されたりサスペンド時には確実にカーネルがクラッシュします。この問題を修正するために、struct clk_hwポインタ配列のサイズを9FGV0841の最大出力数、すなわちこのドライバがサポートする最大のチップに合わせて増加させました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。media: ipu6に関するプローブエラー経路でのRPM参照リークを修正しました。ipu6_pci_probe()のいくつかのエラー経路は、ランタイムPM参照を解放せずに直接out_ipu6_bus_del_devicesにジャンプしていました。そのため、他のリソースをクリーンアップする前にpm_runtime_put_sync()を追加しました。

Linuxカーネルにおいて、以下の脆弱性が修正されました：erofsにおいて、無効なメタボックスが有効な画像に対する不適切な早期終了が修正されました。メタデータ圧縮が有効な精巧に作成されたEROFS画像は、不適切な早期終了を引き起こし、フォリオ参照のリークを誘発する可能性があります。ただし、これによりシステムクラッシュやその他の深刻な問題は発生しません。

Linuxカーネルにおいて、以下の脆弱性が修正されました。net: cpsw_newにおいて、まだ登録されていないnetdevの登録解除が可能であった問題を修正しました。register_netdev()がcpsw_register_ports()内で最初のMACに対してエラーを返した場合、cpsw-slaves[0].ndevはNULLに設定されますが、cpsw-slaves[1].ndevは変更されませんでした。このため後でcpsw_unregister_ports()が2番目のMACの登録解除を試みる可能性がありました。これを解決するために、unregister_netdev()を呼び出す前にndev-reg_stateのチェックを追加しました。この変更により、cpsw-slaves[i].ndevをNULLに設定する必要がなくなり、該当コードは削除されました。

Linuxカーネルにおいて、以下の脆弱性が修正されました：iommu/amdで同時に発生するTLB無効化処理下でのシーケンス割り当ての直列化に問題がありました。TLB無効化が同時に発生すると、cmd_sem_valがIOMMUのスピンロック外で増加されていたため、CMD_COMPL_WAITコマンドが順序を無視してキューに入れられ、wait_on_sem()の順序前提が破られ、完了待機がランダムにタイムアウトしていました。cmd_sem_valの増加をiommu-lockの下に移動し、完了シーケンス割り当てをコマンドキューイングと直列化しました。また、不必要なreturn文を削除しています。

Linuxカーネルにおいて、次の脆弱性が修正されました：ipmiのipmbイベントハンドラにおいて、読み取りバイトを初期化するようにしました。IPMBはi2c読み取りを使用しませんが、ハンドラで値を設定する必要があります。そうしないと、i2c読み取りがバスドライバから初期化されていない値を返してしまいます。

Linuxカーネルにおいて、以下の脆弱性が修正されました。teamドライバのスレーブ登録解除時にNETDEV_CHANGEMTUイベントを回避できない問題がありました。syzbotからは、unregister_netdeviceがnetdevsim0の解放を待機している状態で、使用カウントが3のまま進まないというレポートがありました。Ido Schimmel氏は問題を再現する手順を発見しました。具体的には、team1というteamタイプのインターフェースを追加し、mtu 1499でteam1をマスターとするdummy1インターフェースを追加します。次に、ns1というネットワーク名前空間を作成し、dummy1をns1へ移動させます。そしてns1内でdummy1を削除した場合に問題が発生します。同様の問題はbondドライバでも解決されており（commit f51048c3e07b「bonding: avoid NETDEV_CHANGEMTU event when unregistering slave」）、teamドライバについても同様の対応が行われました。修正にはcommit ad7c7b2172c3（「net: hold netdev instance lock during sysfs operations」）およびcommit 303a8487a657（「net: s/__dev_set_mtu/__netif_set_mtu/」）の適用が含まれています。

Linuxカーネルにおいて、media: irisドライバのSM8750用に不足していたプラットフォームデータエントリが追加されました。これにより、ドライバは必要な内部バッファを正しく割り当てられるようになり、セッションの開始時に発生していた基本的なデコードおよびエンコードの失敗が解消されます。また、エンコーダがv4l2準拠に必要な能力チェックを正確に行うようになります。

Linuxカーネルにおいて、以下の脆弱性が修正されました：net/schedのact_skbeditにあるtcf_skbedit_hash()のゼロ除算の問題です。コミット38a6f0865796（"net: sched: support hash selecting tx queue"）でSKBEDIT_F_TXQ_SKBHASHのサポートが追加されました。範囲サイズはmapping_mod = queue_mapping_max - queue_mapping + 1のように計算されます。リクエストされた範囲が全ての可能なu16キューIDをカバーする場合（例：queue_mapping=0かつqueue_mapping_max=U16_MAX）、範囲サイズは65536となります。この値はu16で表現できず、以前は0にラップしてしまい、tcf_skbedit_hash()がゼロ除算を引き起こす可能性がありました。具体的にはqueue_mapping += skb_get_hash(skb) % params-mapping_modの計算部分です。本修正では、mapping_modをより広い型で計算し、U16_MAXより大きい範囲を拒否することでparams-mapping_modが0になるのを防ぎ、クラッシュを回避しています。

追加の検証により競合状態の問題が対処されました。この問題はiOS 18.7.9およびiPadOS 18.7.9、iOS 26.5およびiPadOS 26.5、macOS Sequoia 15.7.7、macOS Sonoma 14.8.7、macOS Tahoe 26.5、visionOS 26.5で修正されています。アプリが機密ユーザーデータにアクセスする可能性があります。

WagtailはDjango上に構築されたオープンソースのコンテンツ管理システムです。バージョン7.0.7、7.3.2、および7.4より前のバージョンでは、ページを編集する権限のないCMSユーザーが、2つのリビジョンの主キーを知っている場合に、リビジョン比較ビューを通じてページのリビジョンにアクセスできました。これにより、機密情報が漏洩する可能性がありました。この脆弱性はバージョン7.0.7、7.3.2、および7.4で修正されています。

WagtailはDjango上に構築されたオープンソースのコンテンツ管理システムです。7.0.7、7.3.2、および7.4以前のバージョンでは、ページを編集する権限のないCMSユーザーでも、そのページの履歴レポートにアクセスできてしまい、機密情報が漏洩する可能性がありました。この脆弱性は7.0.7、7.3.2、および7.4で修正されています。

WagtailはDjango上に構築されたオープンソースのコンテンツ管理システムです。バージョン7.0.7、7.3.2、および7.4より前のバージョンにおいて、フォームページへの限定的なアクセス権を持つCMSユーザーが、自分がアクセス権を持つフォームページでフォーム送信を作成することにより、アクセス権を持たないフォームページの送信を削除できる脆弱性がありました。この脆弱性は、Wagtail管理者へのアクセス権を持たない通常のサイト訪問者によっては悪用できません。この脆弱性はバージョン7.0.7、7.3.2、および7.4で修正されています。

WagtailはDjango上に構築されたオープンソースのコンテンツ管理システムです。バージョン7.0.7、7.3.2、および7.4より前のバージョンには、ページへのアクセス権が限定されているCMSユーザーが、アクセス権を持たないページを自分がアクセス可能なサイト内の領域にコピーできる問題がありました。一度コピーされると、そのユーザーはコピーしたページの内容を閲覧でき、場合によっては公開することも可能でした。コピー先の権限は正しくチェックされていましたが、コピー元のページに対する権限はチェックされていませんでした。この脆弱性はバージョン7.0.7、7.3.2、および7.4で修正されています。

WagtailはDjango上に構築されたオープンソースのコンテンツ管理システムです。バージョン7.0.7、7.3.2、および7.4より前のバージョンでは、DocumentsおよびImages APIがプライベートコレクション内のアイテムを誤ってリストしていました。APIにアクセスできるユーザーは、プライベートコレクション内のドキュメントおよび画像のファイル名と名前を見ることができました。この脆弱性はバージョン7.0.7、7.3.2、および7.4で修正されました。

uriparser 1.0.2以前のバージョンには、複数の箇所でポインタの差分がint型に切り詰められる問題が存在します。

uriparser 1.0.2より前のバージョンでは、関数ファミリーEqualsUriが2つの異なるURIを等しいと誤って分類する可能性があります。

PaperCut MF（バージョン25.0.4）の共有アカウント同期コンポーネントに脆弱性が発見されました。本アプリケーションは管理者ユーザーがアカウントデータの同期のためのソースパスを設定できる機能を備えています。適切なパスの検証およびサニタイズが行われていないため、管理者権限を持つ認証済みユーザーがローカルファイルシステム上の任意のファイルパスを指定できます。これにより、ディレクトリ構造を列挙したり、機密性の高いテキストベースの設定ファイルやシステムファイルを不正に閲覧したりすることが可能になります。同期プロセスが開始されると、アプリケーションは指定されたファイルの内容を解析して、そのデータをアプリケーションのアカウント管理インターフェースに表示します。この脆弱性は、アプリケーションが動作しているサービスアカウントの権限に応じて、機密のシステム情報や設定内容が漏洩する可能性があります。

PHPのバージョン8.2.*の8.2.31未満、8.3.*の8.3.31未満、8.4.*の8.4.21未満、8.5.*の8.5.6未満において、ユーザーデータの不適切な検証により、攻撃者がURLを作成でき、そのURLを通じてターゲットがPHP-FPMの状態ページを閲覧している際に、任意のJavaScriptコード（XSS）を実行させることが可能になります。

TCPクライアントはTLSハンドシェイクを実行し、サーバー名拡張をサーバー名とともに提示できます。サーバー名拡張はサーバーのワイルドカード名によって受け入れられます。例えば、サーバーが*.example.comを受け入れる証明書で構成されている場合、有効な名前であるxyzを含む任意のXYZ.example.comを使用できます。

PHPのバージョン8.2.*（8.2.31未満）、8.3.*（8.3.31未満）、8.4.*（8.4.21未満）、および8.5.*（8.5.6未満）において、Onigurumaとmbflのエンコーディングリストの不一致によりNULLポインタ参照が発生し、セグメンテーションフォールトおよびサービス拒否が引き起こされます。この脆弱性は、ユーザーが制御する入力がmb_regex_encoding()に渡されるエンコーディングに影響を与える場合に悪用される可能性があります。

Ivanti Secure Access Client の重要なリソースに対して不適切な権限が割り当てられているため（バージョン 22.8R6 より前）、ローカルの認証済みユーザーが共有メモリセクションへの書き込みアクセスを介して機密のログデータを読み取ったり変更したりできます。

Ivanti Endpoint ManagerのCore Serverのバージョン2024 SU6以前に存在する露出した危険なメソッドにより、リモートで認証された攻撃者がアクセス資格情報を漏洩させる可能性があります。

Open5GSバージョン2.7.7までに脆弱性が検出されました。影響を受ける要素は、コンポーネントSMFのファイル/src/smf/npcf-handler.c内の関数update_authorized_pcc_rule_and_qosです。この操作によりサービス拒否（DoS）が発生します。攻撃はリモートから実行される可能性があります。エクスプロイトは既に公開されており、悪用される恐れがあります。本プロジェクトは問題を早期に報告しましたが、まだ対応していません。

Open5GSのバージョン2.7.7までに脆弱性が発見されました。この脆弱性は、コンポーネントSMFのファイル/src/smf/n4-build.c内の関数smf_n4_build_qos_flow_to_modify_listに影響します。この脆弱性によりサービス拒否（DoS）が引き起こされる可能性があります。攻撃はリモートで実行可能です。このエクスプロイトは公開されており、悪用される可能性があります。プロジェクトには早期に問題報告を通じて通知されましたが、まだ対応されていません。

Open5GSのバージョン2.7.7までに脆弱性が発見されました。この脆弱性はコンポーネントSMFのファイル/src/smf/npcf-handler.c内の関数update_authorized_pcc_rule_and_qosに影響を与えます。この操作を行うとサービス拒否（DoS）が発生します。この攻撃はリモートで実行可能です。エクスプロイトは公開されており、悪用される可能性があります。問題は早期に問題報告を通じてプロジェクト側に通知されましたが、まだ対応されていません。

Open5GS 2.7.7 までに脆弱性が確認されました。影響を受けるコンポーネントは SMF の smf_nsmf_handle_create_data_in_hsmf 関数です。この関数を操作するとヌルポインタ参照が発生する可能性があります。この攻撃はリモートから実行される可能性があります。脆弱性の悪用方法が公開されており、利用される恐れがあります。本問題は問題報告を通じて早期にプロジェクトに通知されましたが、現在のところ対応されていません。

Open5GSのバージョン2.7.7までに脆弱性が検出されました。この脆弱性は、コンポーネントSMFのファイル/src/smf/gsm-build.c内の関数gsm_build_pdu_session_establishment_acceptに影響します。この操作によりサービス拒否（DoS）が発生します。攻撃はリモートから実行可能です。エクスプロイトは既に公開されており、利用される可能性があります。プロジェクト側には問題発生初期にイシュー報告を通じて通知されましたが、まだ対応が行われていません。